如何监控容器网段 iptables 规则的修改源头

[samwang1027]

碰到一个奇怪的现象，k8s 集群节点的 iptables 会自动添加 Forward 规则，给容器网段的 ip 禁用转发 ssh 22 端口和 mountd 20048 端口，手动删 iptables forward 规则，一会儿又自动加上了。
因为是用负载均衡访问容器 http 请求的，端口是随机的，使用 20048 端口访问的 tcp 请求，会收不到 syn+ack 的响应，导致连接超时，丢包。
查了下，没有开启 firewall-cmd ，看系统日志也查不出来 iptables 被谁调用了。有什么方式可以查到修改 Forward 规则的源头吗？

[pagxir]

修改一下 iptables ，把父进程名给记录一下

[Monad]

内核版本允许的话考虑 eBPF 跟踪一下 Netfilter 相关的 kprobe/tracepoint 。

[xzysaber]

eBPF 可以考虑下。