3. 网络命名空间与CGroup v2：Linux内核隔离原语

多租户网络观测的核心挑战在于：如何在不破坏租户隔离的前提下，安全地注入观测探针并采集数据。Linux内核提供了两套基础隔离原语——网络命名空间（netns）与CGroup v2，而eBPF程序正是通过挂载到这两套原语的特定钩子上，实现“观测但不侵入”的租户隔离能力。本章将深入剖析这两套原语的内核实现、eBPF钩子机制，以及它们在Pod网络隔离中的具体落地方式。

3.1 网络命名空间：内核级网络栈虚拟化

网络命名空间（Network Namespace）是Linux内核实现网络栈虚拟化的核心机制。每个netns拥有独立的网络设备、IP地址、路由表、防火墙规则（iptables/nftables）、socket连接以及/proc/net目录。在Kubernetes环境中，每个Pod通常被分配一个独立的网络命名空间，从而实现Pod级别的网络隔离。

3.1.1 网络命名空间的生命周期与eBPF关联

网络命名空间的创建与销毁由内核管理，eBPF程序可以通过以下方式感知并关联netns事件：

• nsproxy引用计数： 每个进程的task_struct通过nsproxy指针关联到netns。当进程退出且nsproxy引用计数归零时，netns被销毁。
• perf_event_open + NET_NS事件： eBPF程序可以通过perf事件监控netns的创建与删除。
• BPF_PROG_TYPE_SK_LOOKUP： 在socket查找阶段，eBPF程序可以获取当前socket所属的netns信息，实现基于租户的流量分发。

3.2 CGroup v2：资源控制与eBPF钩子

CGroup v2是Linux内核新一代资源控制框架，相比v1提供了统一的层级结构、无内部进程竞争以及更严格的资源隔离语义。在Kubernetes中，每个Pod及其容器被分配到独立的CGroup v2子树中，CPU、内存、IO、网络等资源都在此层级上被限制与统计。

eBPF与CGroup v2的深度集成体现在cgroup钩子上。eBPF程序可以attach到CGroup v2的特定路径上，当该CGroup内的进程触发相关事件时，eBPF程序自动执行。这种机制使得观测逻辑与资源控制域天然对齐。

3.2.1 CGroup v2的eBPF钩子类型

• BPF_PROG_TYPE_CGROUP_SKB： 在CGroup内进程收发网络包时触发，可用于入站/出站流量过滤与统计。
• BPF_PROG_TYPE_CGROUP_SOCK： 在CGroup内进程创建socket、绑定、连接等操作时触发，用于控制socket访问权限。
• BPF_PROG_TYPE_CGROUP_SYSCTL： 在CGroup内进程读取或写入sysctl参数时触发，用于安全审计与参数限制。
• BPF_PROG_TYPE_CGROUP_SOCKOPT： 在CGroup内进程调用setsockopt/getsockopt时触发，用于控制socket选项。

3.3 Pod网络隔离的底层实现

Kubernetes Pod的网络隔离是netns与CGroup v2协同工作的结果。每个Pod拥有独立的netns，同时其所有进程被限制在CGroup v2子树中。eBPF观测程序通过以下方式实现租户隔离：

1. 设备级隔离： eBPF程序attach到Pod netns内的veth设备（XDP/TC钩子），只观测该Pod的流量。
2. 路径级隔离： eBPF程序attach到Pod对应的CGroup v2路径（cgroup/skb钩子），只处理该CGroup内进程的网络事件。
3. 元数据关联： eBPF程序通过bpf_get_current_cgroup_id()获取当前进程的CGroup ID，结合bpf_skb_cgroup_id()获取skb所属CGroup，实现跨层级关联。

3.4 关键性能考量与优化

在租户隔离场景下，eBPF程序的性能开销必须被严格管控。以下是在netns与CGroup v2环境下进行性能优化的核心要点：

3.5 租户隔离的eBPF编程模式

以下是一个典型的eBPF程序片段，展示如何在CGroup v2钩子中实现租户级别的流量统计：

// cgroup_skb_tenant_stats.c
// 功能：统计每个CGroup（租户）的入站/出站字节数

struct {
    __uint(type, BPF_MAP_TYPE_PERCPU_HASH);
    __uint(max_entries, 1024);
    __type(key, __u64);          // cgroup_id
    __type(value, struct stats); // 字节数、包数
} tenant_stats_map SEC(".maps");

struct stats {
    __u64 bytes_in;
    __u64 packets_in;
    __u64 bytes_out;
    __u64 packets_out;
};

SEC("cgroup_skb/ingress")
int cgroup_ingress(struct __sk_buff *skb) {
    __u64 cgroup_id = bpf_skb_cgroup_id(skb);
    if (cgroup_id == 0)
        return 1; // 放行

    struct stats *s = bpf_map_lookup_elem(&tenant_stats_map, &cgroup_id);
    if (!s) {
        struct stats new = {0};
        bpf_map_update_elem(&tenant_stats_map, &cgroup_id, &new, BPF_ANY);
        s = bpf_map_lookup_elem(&tenant_stats_map, &cgroup_id);
        if (!s)
            return 1;
    }

    __u64 pkt_len = skb->len;
    s->bytes_in += pkt_len;
    s->packets_in += 1;

    return 1; // 放行所有包，仅做统计
}

3.6 总结：隔离原语的协同工作

网络命名空间与CGroup v2构成了Linux内核中租户隔离的两大支柱：

• netns 负责网络栈的虚拟化，确保每个Pod拥有独立的网络视图。
• CGroup v2 负责资源控制与域划分，确保Pod的资源使用被限制在配额内。
• eBPF 通过attach到netns的设备钩子或CGroup v2的路径钩子，实现“观测不越界”的租户隔离数据采集。