Docker Swarm内置负载均衡/VIP与Overlay网络工作原理及理解确认

我最近在琢磨Docker Swarm内置负载均衡（VIP模式）和Overlay网络的协同工作逻辑，越想越想确认自己的理解有没有偏差。为了把思路理得更清楚，我还特意画了一张示意图，现在想请各位帮忙验证下我的理解，或者指出需要纠正的地方。

先给大家说明我假设的测试场景：

• 在Swarm集群中部署了两个服务：webserver和api，每个服务都扩容至2个实例
• 这些实例分散部署在NODE A和NODE B两个节点上

接下来是我梳理的请求流程开头：
当外部发起的请求命中NODE A节点后，首先会触发节点上的iptables规则——这部分我目前的理解是，Swarm会在每个节点上通过iptables配置DNAT转发，把目标为服务VIP的请求，转发到Swarm内部的负载均衡组件？

我目前对整个流程的核心理解点整理如下：

1. 每个Swarm服务都会被分配一个唯一的VIP，这个VIP在整个Overlay网络中是全局可达的
2. 当节点收到目标为服务VIP的流量时，iptables会把流量转发给本地的docker-proxy进程，再由它通过预设的负载均衡算法（比如轮询）转发到对应的服务实例
3. Overlay网络负责跨节点的实例通信，不管请求最终要转发到本地节点还是其他节点的实例，Overlay网络都会处理底层的数据包路由和转发

不知道这些理解是不是准确？另外关于iptables的具体规则链、VIP如何和Overlay网络的路由表关联这部分，我还有点模糊，有没有大佬能帮忙拆解下细节？

内容的提问来源于stack exchange，提问作者sbrattla