| Chain 名称 | 被谁 jump | 作用 |
| --------------------------------------- | ----------------- | ---------------------------------------------------------------------------- |
| KUBE-SERVICES | OUTPUT、PREROUTING | 把即将离开本机或刚进本机的包，按目的 IP:Port 做一次“是不是集群 VIP”的打标签；匹配到的包再分发给具体 KUBE-SVC-XXX 链。 |
| KUBE-EXTERNAL-SERVICES | PREROUTING | 只处理 NodePort/LoadBalancer 等“外部访问”流量，做黑名单/白名单（spec.loadBalancerSourceRanges）。 |
| KUBE-FORWARD | FORWARD | 为集群 Pod ↔ Node 转发开通“通用放行”规则（ip\_forward、标记位检查、MASQUERADE 等）。 |
| KUBE-NODEPORTS | KUBE-SERVICES | 专门匹配 NodePort 流量，再跳转到对应 KUBE-SVC-XXX。 |
| KUBE-FIREWALL | INPUT/OUTPUT | 对标记 0x8000/0x8000 的包 DROP（k8s 自己打的“弃用”标记）；也丢弃源地址 0.0.0.0/1 这类非法包。 |
| KUBE-PROXY-FIREWALL | 新链（v1.28+） | 实现 “LoadBalancerSourceRanges” 的入站防火墙，替代早期 KUBE-EXTERNAL-SERVICES 的一部分工作。 |
| KUBE-KUBELET-CANARY / KUBE-PROXY-CANARY | 空链 | kubelet/kube-proxy 用来判断 iptables 是否“活着”——规则数是否为 0 即可断定自己上次写入被冲掉，需要重建。 |
