我对systemd套接字单元IP地址限制机制的理解

本文探讨了systemd中IPAddressAllow和IPAddressDeny参数在套接字单元上的工作原理。与在服务单元中限制所有流量不同，套接字单元的IP限制仅适用于该套接字本身，而不会限制服务单元发起的连接。这种机制通过eBPF程序实现，但作者发现这些程序并非直接附加到特定端口，而是通过cgroup机制与套接字关联。