istio envoy中的网络层(network layer)filter实现机制

本文缘起于微信群上讨论的”L3/L4层过滤器形成Envoy核心的连接管理功能“，本人对这个说法有点疑问，除了LVS这种，一般的中间件都是四层或七层实现呀，涤大一口咬定envoy是有L3网络层过滤器这个说法，本人对envoy不大了解，只能找google问下，找答案之前也有怀疑是不是基于linux 的 netfilter实现的。

envoy流量劫持机制

经过一番查找后，终于有了答案：iptable(netfilter)。Istio 使用 sidecar 代理来捕获流量，并且在尽可能的地方自动编程网络层，以路由流量通过这些代理，而无需对已部署的应用程序代码进行任何改动。在 Kubernetes中，代理被注入到 pod 中，通过编写 iptables 规则来捕获流量。注入 sidecar 代理到 pod 中并且修改路由规则后，Istio 就能够调解所有流量。

Istio 在 Pod 中注入的 Init 容器名为 istio-init，istio-init 容器的入口是 /usr/local/bin/istio-iptables.sh 脚本，再按图索骥看看这个脚本里到底写的什么，该脚本的位置在 Istio 源码仓库的 tools/deb/istio-iptables.sh，该脚本的用法如下：

$ istio-i