ip 命令怎么知道网卡的实时状态？容器运行时如何感知网络事件？答案都是 netlink。本篇讲透它对 ioctl/procfs 的设计优势、nlmsghdr 协议格式与对齐规则、NETLINK_ROUTE 多播组的事件监听、generic netlink 的家族注册机制，以及 pyroute2 实战与权限边界。

分清 Linux 审计的两条日志管线：auditd 为什么能回答「谁删的文件」，journald 的边界在哪，以及合规日志的不可篡改与远端留痕怎么做。