Linux Namespace

Namespace 类型总览

其中前六种是 Docker 容器使用的核心 Namespace，后两种（Cgroup / Time）较新，容器场景中使用较少。

PID Namespace — 进程隔离

• 每个 PID Namespace 有独立的进程编号空间
• 子 Namespace 中的第一个进程 PID 为 1（类似 init 进程）
• 嵌套关系：父 Namespace 可以看到子 Namespace 的进程，反之不行
• 容器中 ps aux 只能看到容器内的进程，就是 PID Namespace 的功劳

# 创建新的 PID Namespace 并在其中运行 bash
sudo unshare --pid --fork --mount-proc bash

# 在新 Namespace 中查看进程
ps aux
# 你会发现只有 bash 和 ps 两个进程，PID 从 1 开始

Network Namespace — 网络隔离

每个 Network Namespace 拥有独立的：

• 网络设备（网卡）
• IP 地址
• 端口范围
• 路由表
• iptables 规则
• /proc/net 目录

容器间网络通信通常通过 veth pair（虚拟以太网对）+ bridge（网桥）实现（详见第 04 篇）。

# 创建两个 Network Namespace
sudo ip netns add ns1
sudo ip netns add ns2

# 创建 veth pair（一对虚拟网线）
sudo ip link add veth1 type veth peer name veth2

# 将 veth 分别放入两个 Namespace
sudo ip link set veth1 netns ns1
sudo ip link set veth2 netns ns2

# 配置 IP 并启动
sudo ip netns exec ns1 ip addr add 10.0.0.1/24 dev veth1
sudo ip netns exec ns1 ip link set veth1 up
sudo ip netns exec ns2 ip addr add 10.0.0.2/24 dev veth2
sudo ip netns exec ns2 ip link set veth2 up

# 测试连通性
sudo ip netns exec ns1 ping 10.0.0.2

# 清理
sudo ip netns del ns1
sudo ip netns del ns2

Mount Namespace — 文件系统隔离

• 隔离文件系统挂载点，每个 Namespace 可以有独立的挂载视图
• 是最早实现的 Namespace（2002 年，Linux 2.4.19）
• Docker 利用 Mount Namespace 让容器拥有独立的根文件系统（rootfs）

# 创建新的 Mount Namespace
sudo unshare --mount bash

# 在新 Namespace 中挂载 tmpfs，不影响宿主机
mount -t tmpfs tmpfs /mnt
echo "hello from container" > /mnt/test.txt
cat /mnt/test.txt  # 可以读到

# 退出后宿主机的 /mnt 不受影响

UTS Namespace — 主机名隔离

• 隔离主机名（hostname）和域名（domainname）
• 让每个容器可以有自己的主机名
• UTS = Unix Timesharing System，历史命名

# 创建新的 UTS Namespace 并修改主机名
sudo unshare --uts bash
hostname my-container
hostname  # 输出: my-container

# 退出后宿主机的 hostname 不受影响

IPC Namespace — 进程间通信隔离

• 隔离 System V IPC 和 POSIX 消息队列
• 不同 IPC Namespace 中的进程无法通过共享内存、信号量、消息队列通信
• 防止容器间通过 IPC 机制发生意外的数据泄露

# 查看当前 IPC 资源
ipcs

# 创建新的 IPC Namespace
sudo unshare --ipc bash
ipcs  # 在新 Namespace 中看到的 IPC 资源是空的

User Namespace — 用户隔离

• 隔离用户 ID 和组 ID
• 关键特性：容器内的 root（UID 0）可以映射到宿主机的普通用户
• 这是实现无特权容器（Rootless Container）的基础

# 创建新的 User Namespace（无需 sudo！）
unshare --user --map-root-user bash
id  # 输出: uid=0(root) gid=0(root)
# 看起来是 root，但实际上在宿主机上仍是普通用户

Namespace 操作的三个系统调用

# 查看某个进程的 Namespace 信息
ls -la /proc/$$/ns/

# 输出示例：
# lrwxrwxrwx 1 root root 0 ... cgroup -> 'cgroup:[4026531835]'
# lrwxrwxrwx 1 root root 0 ... ipc -> 'ipc:[4026531839]'
# lrwxrwxrwx 1 root root 0 ... mnt -> 'mnt:[4026531841]'
# lrwxrwxrwx 1 root root 0 ... net -> 'net:[4026531840]'
# lrwxrwxrwx 1 root root 0 ... pid -> 'pid:[4026531836]'
# lrwxrwxrwx 1 root root 0 ... user -> 'user:[4026531837]'
# lrwxrwxrwx 1 root root 0 ... uts -> 'uts:[4026531838]'
#
# 方括号中的数字是 Namespace 的 inode 号
# 相同 inode 号 = 在同一个 Namespace

利用 /proc/<pid>/ns/ 下的文件，可以让其他进程通过 setns() 加入已有容器的 Namespace——这就是 docker exec 和 kubectl exec 的底层原理。

小结：Namespace 与容器的关系

graph LR
  subgraph ContainerA["容器 A"]
    A1["PID NS"]
    A2["Network NS"]
    A3["Mount NS"]
  end
  subgraph ContainerB["容器 B"]
    B1["PID NS"]
    B2["Network NS"]
    B3["Mount NS"]
  end
  subgraph Kernel["Linux Kernel"]
    K1["共享内核"]
  end
  ContainerA --> Kernel
  ContainerB --> Kernel
    

宿主机视角（完整进程树）：

systemd(1)
  ├── sshd(800)
  ├── dockerd(900)
  │     └── containerd(901)
  │           ├── nginx(1200)    ← 容器 A 的进程
  │           └── redis(1300)    ← 容器 B 的进程
  └── cron(500)

容器 A 视角（PID Namespace 滤镜）：

nginx(1)    ← 同一个进程，PID 编号重新从 1 开始，看不到其他任何进程