lvs nat模式性能开销可控：内核级处理避免用户态切换，conntrack哈希查找o(1)，校验和由硬件加速；通过调大nf_conntrack_max、缩短超时、多队列网卡及masquerade优化可显著压降。
内核原生加速：绕过用户态、直通 netfilter
LVS 的 NAT 功能完全运行在 Linux 内核网络栈中，调度逻辑由 ip_vs 模块实现，地址转换则复用 iptables/nftables 的 nat 表，无需用户态进程介入。这意味着：
- 数据包不经过用户空间，避免上下文切换和内存拷贝开销
- 连接跟踪（conntrack）由内核 nf_conntrack 模块高效维护，五元组匹配为哈希查找，平均时间复杂度 O(1)
- 校验和重算由内核网络层自动完成，现代 CPU 的硬件校验和加速指令（如 CRC32）也会被调用
连接跟踪调优：控制资源消耗边界
conntrack 表是 NAT 模式的核心状态存储，也是潜在瓶颈。默认容量小（通常 65536 条），满载会导致新连接被丢弃。
可针对性调优：
- 增大连接表上限：sysctl -w net.netfilter.nf_conntrack_max=262144
- 缩短超时时间（尤其对短连接业务）：sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=300
- 禁用非必要协议跟踪（如 ICMP）：echo 0 > /proc/sys/net/netfilter/nf_conntrack_icmpv4_timeout
硬件与拓扑协同：降低单点压力
NAT 模式要求 Director 承担所有进出流量，因此性能瓶颈本质是网卡吞吐 + CPU 处理能力。缓解方式包括：
- 使用多队列网卡并绑定 IRQ 到不同 CPU 核，避免中断集中争抢
- 开启 GRO/GSO 卸载（需网卡支持），减少分片处理次数
- 将 Director 部署在千兆或万兆双网卡服务器上，外网口与内网口物理隔离，避免内部转发带宽竞争
- 限制集群规模：NAT 模式适合 ≤50 台 Real Server 的场景；超过建议改用 DR 模式
替代性优化：用 MASQUERADE 替代静态 SNAT
当 Real Server 网段固定且已知时，传统做法用 -j SNAT --to-source。但若 Director 外网 IP 动态（如云环境），推荐用 -j MASQUERADE：
- MASQUERADE 自动适配出口网卡当前 IP，避免配置漂移问题
- 内核对其做了路径优化，在多数场景下性能与 SNAT 相当，且更健壮
