netlink是golang实现虚拟网桥最直接、最底层的依赖，绕不开它；用os/exec调ip命令虽能跑通但不可控、难调试、无法嵌入网络命名空间管理流程，且存在输出格式不稳定、错误不结构化、跨namespace执行受限、同步性差等问题。
netlink 是 Golang 实现虚拟网桥最直接、最底层的依赖，绕不开它。用 os/exec 调 ip link add name br0 type bridge 虽然能跑通，但不可控、难调试、无法嵌入到网络命名空间管理流程中——真正在容器或网络插件里写代码时，必须用 netlink。
为什么不用 os/exec 调 ip 命令
看似简单，实际埋雷：
– ip 命令输出格式不稳定（不同内核版本、busybox vs full iproute2）；
– 错误不带结构化返回，err != nil 只能告诉你“执行失败”，但不知道是设备已存在、权限不足，还是参数错；
– 无法在非 root 用户 namespace 内执行（ip netns exec ns1 ip link 本质是 fork+setns+exec，Golang 进程自己没做 setns 就调不进去）；
– 同步性差：命令返回 ≠ 设备真正 ready，LinkSetUp 后还需等待 RTM_NEWLINK 事件确认状态。
创建 bridge 的关键三步（netlink.LinkAdd + LinkSetUp + LinkSetBrFDBFlush）
仅调 netlink.LinkAdd 不够，bridge 设备默认不启用 STP、不 flush FDB，容易引发二层泛洪或 MAC 学习异常：
-
netlink.LinkAdd(&netlink.Bridge{LinkAttrs: netlink.LinkAttrs{Name: "br0"}})创建设备，但此时br0状态为DOWN，且STP默认开启（Linux 内核 5.10+ 默认STP=on） - 必须紧接着
netlink.LinkSetUp，否则后续veth加入会失败（Operation not supported） - 若用于容器网络，建议加
netlink.LinkSetBrFDBFlush清空桥的 MAC 表，避免残留条目干扰新容器通信
示例片段：
bridge := &netlink.Bridge{
LinkAttrs: netlink.LinkAttrs{
Name: "br0",
},
}
if err := netlink.LinkAdd(bridge); err != nil && !strings.Contains(err.Error(), "file exists") {
return err
}
if link, err := netlink.LinkByName("br0"); err == nil {
netlink.LinkSetUp(link)
netlink.LinkSetBrFDBFlush(link) // 非必需但推荐
}
veth pair 绑定到 bridge 前，必须先 up host 端
常见错误：先 LinkSetMaster(br0) 再 LinkSetUp(veth0)，结果 veth0 无法加入桥，ip link show br0 看不到端口。原因：
– Linux 内核要求 port 设备必须处于 UP 状态，才能被 accept 进 bridge；
– LinkSetMaster 不会自动 up 设备，它只修改 master 字段；
– 正确顺序只能是：LinkSetUp(veth0) → LinkSetMaster(veth0, br0)。
顺带注意：
– veth1 移入容器 namespace 后，必须在该 namespace 内再次 LinkSetUp，host 侧的 up 状态不会继承；
– 若用 netlink.LinkSetNsFd 移动设备，目标 namespace 文件描述符需保持打开，关闭后设备会自动消失。
MTU 不一致会导致跨 bridge 通信丢包
bridge 本身没有 MTU，但所有 attached port 的 MTU 必须一致。如果 veth0 是 1500，br0 是 9000（jumbo frame），数据包在转发时会被 silently drop —— 内核日志里可能只有 br0: received packet with size X > MTU Y 这类提示，不报错也不返回 ICMP。
实操建议：
– 创建 veth 时显式设 MTU：&netlink.Veth{LinkAttrs: netlink.LinkAttrs{Name: "veth0", MTU: 1500}, PeerName: "veth1"}；
– 创建 bridge 后，用 netlink.LinkSetMTU 统一设一次（虽然它不存 MTU，但会影响部分驱动行为）；
– 容器内 veth1 的 IP 地址配置前，务必检查其 MTU 是否与 host 侧一致（ip -d link show veth1 查 mtu 字段）。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
