克退卧嚎1.概述1.1 什么是TUN/TAP设备TUN/TAP 设备是操作系统内核中的虚拟网络设备是用软件模拟的网络设备提供与硬件网络设备完全相同的功能。主要用于用户空间和内核空间传递报文。1.1.1 双重身份的理解从不同视角看TUN/TAP设备有着不同的身份从Linux文件系统视角TUN/TAP是用户可以用文件句柄操作的字符设备。这种设计使得用户态程序可以像操作普通文件一样操作网络数据包。从网络虚拟化视角它是虚拟网卡一端连接着内核网络协议栈另一端连接着用户态程序。这种特殊的桥梁设计为网络数据包的处理提供了极大的灵活性。1.1.2 tun与tap表兄弟而非亲兄弟虽然经常被并列提及但tun和tap有着明显的区别tun设备虚拟的是点对点设备工作在网络层第三层处理的是IP数据包。它没有 MAC 地址因此不能处理 ARP 请求或以太网广播。tap设备虚拟的是以太网设备工作在数据链路层第二层处理的是完整的以太网帧。拥有 MAC 地址可以参与桥接网络就像一块虚拟的以太网卡。1.2 TUN/TAP设备有什么作用呢重要TUN/TAP设备可以将TCP/IP协议栈处理好的网络包发送给任何一个使用TUN/TAP驱动的进程由进程重新处理后发到物理链路中。TUN/TAP设备就像是埋在用户程序空间的一个钩子我们可以很方便地将对网络包的处理程序挂在这个钩子上OpenVPN、Vtun、flannel都是基于它实现隧道包封装的。2.核心工作原理连接用户空间与内核空间2.1 TUN/TAP 设备与物理网卡的区别物理网卡一端连接的是物理网络一端连接的是网络协议栈。TUN/TAP 设备在操作系统内部连接了内核网络协议栈和用户空间的应用程序。一端连接的是应用程序一端连接的是网络协议栈。image2.2 TUN/TAP设备的工作原理2.2.1 Socket的数据交互原理在讲解TUN/TAP设备的前先简单介绍物理设备上的数据是如何通过Linux网络协议栈送达用户态程序的对应2.2.2章节tun设备的工作模式图中应用进程B、应用进程C。物理网卡从网络接收数据后会将其送入内核的网络协议栈进行处理用户态程序则通过创建的Socket套接字从协议栈中读取数据反之发送数据时也通过Socket将数据交由协议栈最终由网卡发出。2.2.2 TUN/TAP设备的工作原理从网络协议栈的角度看TUN/TAP设备这类虚拟网卡与物理网卡并无区别。只是对TUN/TAP设备而言它与物理网卡的不同表现在它的数据源不是物理链路而是来自用户态这也是TUN/TAP设备的最大价值所在。TUN/TAP设备其实就是利用Linux的设备文件实现内核态和用户态的数据交互而访问设备文件则会调用设备驱动相应的例程要知道设备驱动也是内核态和用户态的一个接口。tun设备的工作模式如下图所示。image普通的物理网卡通过网线收发数据包而tun设备通过一个设备文件/dev/net/tun收发数据包。应用的数据收发过程数据发送应用进程 A open/dev/net/tun 字符设备通过 ioctl 调用创建虚拟接口 tunx 或者 tapx, ioctl 调用返回表示对应 tunx 或者 tapx 设备的文件描述符 fd 应用 A 通过这个文件描述符 fd 写入格式化的数据数据通过虚拟网卡驱动到达协议栈对于协议栈来说这个数据就像从真实网卡接收的一样。数据接收当网络协议栈发送数据到虚拟接口 tunx 或者 tapx 时应用进程 A 通过上述创建的设备文件描述符 fd从中读取接口发送的数据然后进行处理。tap设备与tun设备的工作原理完全相同区别在于tun设备的 /dev/net/tun 文件收发的是IP包因此只能工作在L3无法与物理网卡做桥接但可以通过三层交换例如ip_forward与物理网卡连通tap设备的 /dev/net/tun 文件收发的是链路层数据包。从这点来看Tap 虚拟设备和真实的物理网卡的能力更接近可以与物理网卡做 bridge。注意事项无论是 tun 还是 tap 设备都是通过open /dev/net/tun 这个字符设备文件通过 ioctl 系统调用在内核创建新的 tun、tap 设备创建的设备并不会以文件的形式出现在 /dev/ 下可以在 sys/class/net/ 下看到对应的网络接口 tunx 或者 tapx。设备 /dev/net/tun 必须以 read/write 的方式打开。该设备也被称为克隆设备它是创建任何 TUN/TAP 虚拟接口的起点。open 系统调用执行的时候VFS 会为这次 open 分配一个独立的内核态 file 结构也就是说每次打开执行时内核为此次打开分配的 file 结构实例不同代表不同的字符设备。2.2.3 TUN/TAP 驱动TUN/TAP 驱动程序中包含两个部分一部分是字符设备驱动还有一部分是网卡驱动。利用网卡驱动部分接收来自 TCP/IP 协议栈的网络分包并发送或者反过来将接收到的网络分包传给协议栈处理。字符驱动部分则将网络分包在内核与用户态之间传送模拟物理链路的数据接收和发送。用户态程序通过 ioctl read write 系统调用 与字符设备 /dev/net/tun 进行数据交互。3.TUN/TAP设备的应用场景TUN/TAP设备强大的能力使其成为许多现代网络技术的基石以下是几个最典型的应用场景。3.1 虚拟专用网络VPN这是TUN设备最经典的应用。VPN客户端程序会创建一个TUN设备如tun0。当你的操作系统要访问远程公司内网时产生的目标地址为内网的IP数据包会被路由到tun0设备。随后VPN程序从tun0的文件描述符中读取到这个原始IP数据包对其进行加密、封装例如封装成UDP包再通过真实的物理网卡发送给VPN服务器。服务器解密后将原始IP包注入其网络栈最终送达目标内网。这个过程为你创建了一条安全的“网络隧道”。3.2 虚拟机与容器网络在虚拟化环境中TAP设备发挥着关键作用。当QEMU等虚拟机管理器启动一台虚拟机时通常会在宿主机上创建一个TAP设备如tap0作为虚拟机的“网卡接口”。这个tap0设备会被加入到宿主机的Linux网桥如br0中同时物理网卡也可能加入此网桥。这样虚拟机发出的以太网数据帧通过TAP设备被宿主机上的网络程序如QEMU读取再转发到网桥最终可以像宿主机上的真实设备一样与外部网络或其他虚拟机通信。这种机制也是许多容器网络方案的基础。3.3 其他应用方向网络协议实验开发者可以利用TUN/TAP在用户空间实现自定义的网络协议栈用于学习或研究而无需修改内核。流量监控与过滤通过读取TUN/TAP设备的数据可以对特定流量进行监控、分析或实现灵活的防火墙策略。4.TUN/TAP的局限性与替代方案尽管TUN/TAP设备非常灵活但它们也存在一定的局限性最主要问题在于性能开销。由于数据包必须在内核协议栈和用户态应用程序之间频繁传递每次传输都涉及上下文切换和数据拷贝这在高速网络如25Gbps及以上或小包高并发场景下容易成为性能瓶颈。虽然通过多队列Multiqueue等技术可以提升性能但其吞吐量和延迟通常仍不及一些更先进的内核直通方案。因此在需要更高性能或特定功能的场景下可以考虑其他虚拟网络方案作为替代或补充。例如veth pair常用于连接不同的网络命名空间是容器网络的基础组件MACVTAP 则旨在简化虚拟化环境下的桥接网络能减少数据拷贝开销提升性能而功能更丰富的 Open vSwitch (OVS) 及其 MACTAP 接口则提供了强大的虚拟交换能力和更优的内核级数据通路特别适用于云数据中心等复杂网络环境。选择哪种方案需根据具体的性能要求、功能复杂度和部署环境进行权衡。5.总结TUN/TAP设备巧妙地利用Linux“一切皆文件”的哲学通过一个字符设备文件/dev/net/tun在内核网络协议栈和用户态程序之间架起了一座桥梁。它们虽然纯粹由软件实现但在内核看来其行为与物理网卡无异。其核心价值在于将网络数据包的处理能力开放给了用户空间。这种设计带来了极大的灵活性催生了从VPN、虚拟化网络到云原生基础设施等诸多强大应用。理解TUN/TAP不仅是掌握Linux网络虚拟化的关键更能让我们看清许多上层网络技术如Kubernetes网络插件的底层实现逻辑。