┌─────────────────────────────────────────────── CNI / iptables / conntrack 全流程四象限图 ───────────────────────────────────────────────┐
│ │
│ 【① 同节点 Pod ↔ Pod（Node1 内通信）】 │
│ │
│ Pod A (10.244.1.2) │
│ netns │
│ │ │
│ │ veth0 │
│ ▼ │
│ vethA-peer ───────► cni0/bridge (Node1) │
│ │ │
│ │ L2转发 / bridge-fwd │
│ ▼ │
│ vethB-peer ◄──────── Pod B (10.244.1.3) │
│ netns │
│ │
│ iptables: │
│ FORWARD: ACCEPT (同bridge转发) │
│ conntrack: NEW → ESTABLISHED │
│ │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ │
│ 【② 跨节点 Pod ↔ Pod（Node1 ↔ Node2）】 │
│ │
│ Pod A (Node1) │
│ │ │
│ │ veth │
│ ▼ │
│ cni0 │
│ │ │
│ │ routing table │
│ ▼ │
│ eth0 (Node1) ──────────────── VXLAN / Calico / Flannel ───────────────► eth0 (Node2) │
│ │
│ ▼ │
│ cni0 (Node2) │
│ │ │
│ ▼ │
│ Pod B (10.244.2.3) │
│ │
│ iptables Node1: │
│ PREROUTING → FORWARD → POSTROUTING (MASQUERADE if needed) │
│ │
│ iptables Node2: │
│ PREROUTING → FORWARD │
│ │
│ conntrack: NEW → ESTABLISHED (跨节点状态保持) │
│ │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ │
│ 【③ Pod → 宿主机服务（同节点访问 Node1 Host）】 │
│ │
│ Pod A │
│ │ │
│ ▼ │
│ veth → cni0 │
│ │ │
│ ▼ │
│ iptables PREROUTING │
│ │ │
│ ▼ │
│ INPUT chain ───────────────► Host Service (Node IP / 127.0.0.1) │
│ │
│ conntrack: NEW → ESTABLISHED │
│ │
├─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ │
│ 【④ 跨节点 Pod → 宿主机服务（访问 Node2 Host Service）】 │
│ │
│ Pod A (Node1) │
│ │ │
│ ▼ │
│ cni0 → eth0(Node1) │
│ │ │
│ ▼ │
│ 网络转发 (overlay / routing) │
│ │ │
│ ▼ │
│ eth0(Node2) │
│ │ │
│ ▼ │
│ iptables PREROUTING (Node2) │
│ │ │
│ ▼ │
│ DNAT / kube-proxy (ClusterIP / Service IP) │
│ │ │
│ ▼ │
│ INPUT chain │
│ │ │
│ ▼ │
│ Host Service (Node2) │
│ │
│ conntrack: NEW → ESTABLISHED（跨节点 + NAT 追踪） │
│ │
└─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘
