关于 IPVS 为什么比 iptables 效率更高，文章从 技术原理、数据结构、性能表现、适用场景 四方面解答
1、核心区别一句话总结：
IPVS 是专门为负载均衡设计的内核模块，基于哈希表实现转发，性能更高、更稳定；iptables 是基于顺序规则链遍历的通用防火墙机制，效率较低。
2、具体技术对比
| 维度 | iptables | IPVS |
|---|---|---|
| 用途 | 通用防火墙 + NAT | 专用四层负载均衡（LVS） |
| 工作层级 | Netfilter 框架中实现的规则匹配 | Linux 内核 IPVS 模块（专用转发层） |
| 查找方式 | 顺序匹配规则链（线性匹配） | 哈希查找（O(1) 时间复杂度） |
| 性能瓶颈 | 规则越多性能越差（O(n)） | 规则多也稳定，适合大规模集群 |
| 连接调度算法 | 基本无（DNAT 后交由后端负载） | 支持 RR、LC、DH、SH、Maglev 等多种算法 |
| 健康检查 | 无原生健康检查功能 | 原生支持后端节点健康检测（调度前剔除故障） |
| 并发能力 | 中等，受限于规则链 | 高并发环境表现优秀 |
| 维护复杂度 | 简单，规则人可读 | 配置复杂但由 kube-proxy 自动管理 |
3、举例说明
iptables 工作方式：
每个请求到来时，需要顺序遍历匹配：
-A KUBE-SVC-XYZ -d 10.96.0.1/32 --dport 443 -j KUBE-SEP-ABC
-A KUBE-SVC-XYZ -d 10.96.0.1/32 --dport 443 -j KUBE-SEP-DEF
...
→ 多个 Service 会让规则链很长，效率降低。
IPVS 工作方式：
以哈希表形式快速匹配：
ipvsadm -Ln
TCP 10.96.0.1:443 rr
-> 192.168.1.10:6443 Masq 1 0 0
-> 192.168.1.11:6443 Masq 1 0 0
→ 哈希命中，O(1) 转发，直接由内核模块完成。
4、使用经验
- 在一个大型集群（1k+ Service，1w+ Pod）中，iptables 同步规则耗时高达数秒，导致 kube-proxy 卡顿；
- 切换到 IPVS 后，规则同步耗时降低 80%，网络性能更稳定；
- IPVS 还支持持久连接（如 Maglev 算法），避免连接重排。
总结一句话：
IPVS 是专为高性能网络负载均衡设计的内核模块，查找效率高、转发能力强、扩展性好，在大规模 Kubernetes 集群中相比 iptables 更能稳定支持成千上万个 Service 和 Pod。
