linux的命名空间到底是什么，一直搞不懂

抽象的概念。看了一下别人的解析，写一下：

从Linux 2.6.24版的内核开始，Linux 就支持6种不同类型的命名空间。（具体也没记住）

命名空间是一种轻量级的虚拟化手段；

传统的虚拟化软件，是虚拟化多个不同的 *** 作系统，对共享资源的限制很大；

通过提供命名空间，可以让进程与进程之间，用户与用户之间彼此看不到对方。

命名空间，相当于容器。

命名空间，本质上建立了系统的不同视图。

在Linux中，引入“命名空间”的概念是为了在不同的进程组之间隔离系统资源。作为六种不同类型的Linux命名空间之一，网络命名空间在逻辑上隔离与不同进程组之间的网络（例如，网络设备，IP地址，路由表）相关联的系统资源，从而为每个进程组提供主机网络堆栈的不同视图。此功能通常用于 *** 作系统级虚拟化。 可以通过ip命令创建和删除Linux网络命名空间，

如下所示。

                     $ sudo ip netns add

                    ’ $ sudo ip netns del

假设您要清理Linux系统上的所有现有命名空间。当然你可以用上面的ip命令逐个删除每个命名空间，但这可能很麻烦。以下是从命令行中删除所有网络命名空间的方法

方法一

该IP命令来自iproute2的包。最新的iproute2包允许ip命令为所有对象执行指定的 *** 作（例如，对于所有现有的命名空间）。为此，它提供“-all”选项

例如，在Ubuntu 15.10或Fedora

23上，ip命令可以使用“-all”选项一次删除所有名称空间。

$ sudo ip -all netns delete

但是，如果您的Linux系统没有安装兼容的iproute2软件包，您将遇到以下错误。

选项“-all”未知，请尝试“ip-help”

方法二

对于那些没有安装最新iproute2软件包的人，可以使用xargs和ip的组合删除所有网络名称空间，如下所示。

$ ip netns | xargs -I {} sudo ip netns delete{}

基本上，您将多行命名空间列表传递给xargs，然后xargs将为每个命名空间运行ip命令。

转自 嘉为教育-rhce认证_rhce培训_linux培训_linux认证_linux考证

namespace和cgroup是软件容器化趋势中的两个主要内核技术。简单来说，cgroup是一种对进程进行统一的资源监控和限制，控制着使用多少系统资源（CPU，内存等）。而namespace是对全局系统资源的一种封装隔离，它通过Linux内核对系统资源进行隔离和虚拟化的特性。

Linux内核2.4仅实现了mount namespace，从内核 2.6开始实现了，在内核 3.8 中才宣布完成6种类型的命名空间：Process ID  (pid)、Mount (mnt)、Network (net)、InterProcess Communication (ipc)、UTS、User ID (user)。随着Linux自身的发展以及容器技术持续发展带来的需求，会支持有新的namespace，比如在内核 4.6 中添加了Cgroup namespace。

Linux提供多个API用来 *** 作namespace，分别是clone()、setns() 和unshare() 函数，为了确定隔离的namespace，在使用这些 API 时，通常要指定调用参数：CLONE_NEWIPC 、CLONE_NEWNET、CLONE_NEWNS、CLONE_NEWPID、CLONE_NEWUSER、CLONE_NEWUTS和CLONE_NEWCGROUP。

从Linux 3.8的内核开始，/proc/[pid]/ns 目录下会包含进程所属的 namespace 信息。

pid命名空间会使得进程只能看到同一pid命名空间中的进程。mnt命名空间，可以将进程附加到自己的文件系统(如chroot)。本文只关注网络命名空间 Network (net)。

网络命名空间为命名空间内的所有进程提供了全新隔离的网络协议栈。这包括网络接口，路由表和iptables规则。通过使用网络命名空间可以实现网络虚拟环境，实现彼此之间的网络隔离，这对于云计算中租户网络隔离非常重要，Docker中的网络隔离也是基于此实现的。

备注：ip命令要以root用户身份运行。

1.新增一个网络命名空间(名称netns0)

# ip netns add netns0

从系统的角度来看，当通过clone()系统调用创建一个新进程时，传递CLONE_NEWNET标志，在新进程中创建一个全新的网络命名空间。从用户的角度来看，使用ip命令创建一个新的名为netns0的持久网络命名空间。创建命名空间后，ip命令会在/var/run/netns目录下增加一个netns0文件。

列出系统中可用的命名空间：

# ip netns show 或ip netns list

2. 网络命名空间包含自己的网络资源：接口，路由表等。默认添加的网络命名空间netns0中会自动添加一个loopback(回环)接口但要手工开启回环口lo网卡

# ip netns exec netns0 ip link set lo up

查看网络lo回环口信息：

# ip netns exec netns0 ip a

# ip netns exec netns0 ping 127.0.0.1 -c 3

1) 创建2个网络命名空间

# ip netns add netns0

# ip netns add netns1

2) 模拟创建一根网线：

2.1) 先创建1对veth虚拟网络设备

# ip link add name vnet0 type veth peer name vnet1

# ip addr show

1: vnet1@vnet0: <BROADCAST,MULTICAST, M-DOWN>mtu 1500 qdisc noop state DOWN group default qlen 1000

link/ether 52:42:c3:02:54:38 brd ff:ff:ff:ff:ff:ff

2: vnet0@vnet1: <BROADCAST,MULTICAST, M-DOWN>mtu 1500 qdisc noop state DOWN group default qlen 1000

link/ether a6:20:57:dc:c6:dd brd ff:ff:ff:ff:ff:ff

注意：这两个虚拟网络设备都属于“default” 或“global”命名空间，和物理网卡一样。

2.2) 把veth0设置到netns0命名空间，把veth1设置到netns1命名空间：

# ip link set vnet0 netns netns0

# ip link set vnet1 netns netns1

2.3) 给两个主机分别配置ip(进入命名空间启动网卡然后给网卡配置ip)，然后互ping

# ip netns exec netns0 ip link set vnet0 up

# ip netns exec netns1 ip link set vnet1 up

# ip netns exec netns0 ip a add 192.168.0.2 dev vnet0

# ip netns exec netns1 ip a add 192.168.0.3 dev vnet1

# ip netns exec netns0 ping 192.168.0.3

connect: 网络不可达

2.4) 添加路由(互相配置对端ip为网关，为什么?)

# ip netns exec netns0 ip route add 192.168.0.3 dev vnet0

# ip netns exec netns1 ip route add 192.168.0.2 dev vnet1

在netns0中去ping netns1主机

# ip netns exec netns0 ping 192.168.0.3 -c 2

PING 192.168.0.3 (192.168.0.3) 56(84) bytes of data.

64 bytes from 192.168.0.3: icmp_seq=1 ttl=64 time=0.021 ms

64 bytes from 192.168.0.3: icmp_seq=2 ttl=64 time=0.047 ms

--- 192.168.0.3 ping statistics ---

以上仅限于同一主机上网络可达，但不同主机上的网络不通。

3) 在主机上配置ip转发，并且在 iptables 设置伪装。

ip转发指：当Linux主机存在多个网卡的时候，允许一个网卡的数据包转发到另外一张网卡。 iptables的介绍，请点我点我哦 。

3.1) 开启ip转发

echo 1 >/proc/sys/net/ipv4/ip_forward

3.2) 刷新forward规则

iptables -F FORWARD

iptables -t nat -F

3.3) 刷新nat规则

iptables -t nat -L -n

3.4) 告诉iptables伪装起来

iptables -t nat -A POSTROUTING -s  192.168.0.3/255.255.255.0 -o eth0 -j  MASQUERADE # eth0连接外网

3.5) 允许veth0和eth0之间的转发

iptables -A FORWARD -i eth0 -o veth0 -j  ACCEPT

iptables -A FORWARD -o eth0 -i veth0 -j  ACCEPT

https://zhuanlan.zhihu.com/p/65566171

https://blog.csdn.net/guotianqing/article/details/82356096

https://www.cnblogs.com/sparkdev/p/9365405.html 对namespace api的介绍

https://segmentfault.com/a/1190000006908272

https://man7.org/linux/man-pages/man7/namespaces.7.html

https://lwn.net/Articles/580893/

---