网络命名空间ip netns

namespace和cgroup是软件容器化趋势中的两个主要内核技术。简单来说，cgroup是一种对进程进行统一的资源监控和限制，控制着使用多少系统资源（CPU，内存等）。而namespace是对全局系统资源的一种封装隔离，它通过Linux内核对系统资源进行隔离和虚拟化的特性。

Linux内核2.4仅实现了mount namespace，从内核 2.6开始实现了，在内核 3.8 中才宣布完成6种类型的命名空间：Process ID  (pid)、Mount (mnt)、Network (net)、InterProcess Communication (ipc)、UTS、User ID (user)。随着Linux自身的发展以及容器技术持续发展带来的需求，会支持有新的namespace，比如在内核 4.6 中添加了Cgroup namespace。

Linux提供多个API用来 *** 作namespace，分别是clone()、setns() 和unshare() 函数，为了确定隔离的namespace，在使用这些 API 时，通常要指定调用参数：CLONE_NEWIPC 、CLONE_NEWNET、CLONE_NEWNS、CLONE_NEWPID、CLONE_NEWUSER、CLONE_NEWUTS和CLONE_NEWCGROUP。

从Linux 3.8的内核开始，/proc/[pid]/ns 目录下会包含进程所属的 namespace 信息。

pid命名空间会使得进程只能看到同一pid命名空间中的进程。mnt命名空间，可以将进程附加到自己的文件系统(如chroot)。本文只关注网络命名空间 Network (net)。

网络命名空间为命名空间内的所有进程提供了全新隔离的网络协议栈。这包括网络接口，路由表和iptables规则。通过使用网络命名空间可以实现网络虚拟环境，实现彼此之间的网络隔离，这对于云计算中租户网络隔离非常重要，Docker中的网络隔离也是基于此实现的。

备注：ip命令要以root用户身份运行。

1.新增一个网络命名空间(名称netns0)

# ip netns add netns0

从系统的角度来看，当通过clone()系统调用创建一个新进程时，传递CLONE_NEWNET标志，在新进程中创建一个全新的网络命名空间。从用户的角度来看，使用ip命令创建一个新的名为netns0的持久网络命名空间。创建命名空间后，ip命令会在/var/run/netns目录下增加一个netns0文件。

列出系统中可用的命名空间：

# ip netns show 或ip netns list

2. 网络命名空间包含自己的网络资源：接口，路由表等。默认添加的网络命名空间netns0中会自动添加一个loopback(回环)接口但要手工开启回环口lo网卡

# ip netns exec netns0 ip link set lo up

查看网络lo回环口信息：

# ip netns exec netns0 ip a

# ip netns exec netns0 ping 127.0.0.1 -c 3

1) 创建2个网络命名空间

# ip netns add netns0

# ip netns add netns1

2) 模拟创建一根网线：

2.1) 先创建1对veth虚拟网络设备

# ip link add name vnet0 type veth peer name vnet1

# ip addr show

1: vnet1@vnet0: <BROADCAST,MULTICAST, M-DOWN>mtu 1500 qdisc noop state DOWN group default qlen 1000

link/ether 52:42:c3:02:54:38 brd ff:ff:ff:ff:ff:ff

2: vnet0@vnet1: <BROADCAST,MULTICAST, M-DOWN>mtu 1500 qdisc noop state DOWN group default qlen 1000

link/ether a6:20:57:dc:c6:dd brd ff:ff:ff:ff:ff:ff

注意：这两个虚拟网络设备都属于“default” 或“global”命名空间，和物理网卡一样。

2.2) 把veth0设置到netns0命名空间，把veth1设置到netns1命名空间：

# ip link set vnet0 netns netns0

# ip link set vnet1 netns netns1

2.3) 给两个主机分别配置ip(进入命名空间启动网卡然后给网卡配置ip)，然后互ping

# ip netns exec netns0 ip link set vnet0 up

# ip netns exec netns1 ip link set vnet1 up

# ip netns exec netns0 ip a add 192.168.0.2 dev vnet0

# ip netns exec netns1 ip a add 192.168.0.3 dev vnet1

# ip netns exec netns0 ping 192.168.0.3

connect: 网络不可达

2.4) 添加路由(互相配置对端ip为网关，为什么?)

# ip netns exec netns0 ip route add 192.168.0.3 dev vnet0

# ip netns exec netns1 ip route add 192.168.0.2 dev vnet1

在netns0中去ping netns1主机

# ip netns exec netns0 ping 192.168.0.3 -c 2

PING 192.168.0.3 (192.168.0.3) 56(84) bytes of data.

64 bytes from 192.168.0.3: icmp_seq=1 ttl=64 time=0.021 ms

64 bytes from 192.168.0.3: icmp_seq=2 ttl=64 time=0.047 ms

--- 192.168.0.3 ping statistics ---

以上仅限于同一主机上网络可达，但不同主机上的网络不通。

3) 在主机上配置ip转发，并且在 iptables 设置伪装。

ip转发指：当Linux主机存在多个网卡的时候，允许一个网卡的数据包转发到另外一张网卡。 iptables的介绍，请点我点我哦 。

3.1) 开启ip转发

echo 1 >/proc/sys/net/ipv4/ip_forward

3.2) 刷新forward规则

iptables -F FORWARD

iptables -t nat -F

3.3) 刷新nat规则

iptables -t nat -L -n

3.4) 告诉iptables伪装起来

iptables -t nat -A POSTROUTING -s  192.168.0.3/255.255.255.0 -o eth0 -j  MASQUERADE # eth0连接外网

3.5) 允许veth0和eth0之间的转发

iptables -A FORWARD -i eth0 -o veth0 -j  ACCEPT

iptables -A FORWARD -o eth0 -i veth0 -j  ACCEPT

https://zhuanlan.zhihu.com/p/65566171

https://blog.csdn.net/guotianqing/article/details/82356096

https://www.cnblogs.com/sparkdev/p/9365405.html 对namespace api的介绍

https://segmentfault.com/a/1190000006908272

https://man7.org/linux/man-pages/man7/namespaces.7.html

https://lwn.net/Articles/580893/

要在启动时选择工作空间，可做如下设置打开Window——Preference在出来的窗口中，选择General——StartupandShutdown——Workspaces勾选右边的Promptforworkspaceonstartup即可如果只要切换工作空间，可以打开File——SwitchWorkspace选择工

命名空间（Linux namespace）是linux内核针对实现虚拟化引入的一个特性。创建的每个进程都有自己的命名空间，运行在其中的进程都像是在独立的 *** 作系统中运行一样，命名空间保证了进程之间互不影响。

命名空间提供了一种不同的解决方案，只使用一个内核在一台物理计算机上运作，所有全局资源都通过命名空间抽象起来。这使得可以将一组进程放置到一个命名空间中，各个命名空间彼此隔离。

隔离用户和group ID

每个命名空间内上的用户跟宿主主机上不在一个命名空间 同进程 ID 一样，用户 ID 和组 ID 在命名空间内外是不一样的，并且在不同命名空间内可以存在相同的 ID

  在 Linux 中，网络名字空间可以被认为是隔离的拥有单独网络栈（网卡、路由转发表、iptables）的环境。网络名字空间经常用来隔离网络设备和服务，只有拥有同样网络名字空间的设备，才能看到彼此。

从逻辑上说，网络命名空间是网络栈的副本，有自己的网络设备、路由选择表、邻接表、Netfilter表、网络套接字、网络procfs条目、网络sysfs条目和其他网络资源。

从系统的角度来看，当通过clone()系统调用创建新进程时，传递标志CLONE_NEWNET将在新进程中创建一个全新的网络命名空间。

从用户的角度来看，我们只需使用工具ip（package is iproute2）来创建一个新的持久网络命名空间。

为了让另一个主机可以访问本主机上的某个网络命名空间中定义的IP地址，可以将宿主机的物理网卡和虚拟网卡做桥接，这样就可以和虚拟网卡通信。

---