3. Linux 网络命名空间：Namespace 概念、创建与管理网络命名空间、veth pair 连接
3.1 网络命名空间（Network Namespace）概念
网络命名空间是 Linux 内核提供的一项轻量级虚拟化技术，用于实现网络栈的隔离。每个网络命名空间拥有独立的网络设备、IP 地址、路由表、防火墙规则（iptables/ip6tables）、网络栈状态以及套接字（socket）实例。从进程的角度看，一个进程只能看到其所属命名空间内的网络资源，仿佛独占一台物理主机。
在多租户网络拓扑环境中，网络命名空间是实现租户间网络隔离的核心基石。通过为每个租户或每个业务单元分配独立的网络命名空间，可以避免网络配置冲突，并支持在同一台物理主机上运行多个完全隔离的网络环境。
核心隔离维度：
- 网络设备：lo、eth0、veth 等接口仅在本命名空间可见。
- IP 地址：不同命名空间可使用相同的 IP 地址段（如 10.0.0.0/24）而不冲突。
- 路由表：每个命名空间维护独立的路由策略。
- 防火墙规则：iptables 规则完全隔离。
- 套接字：监听同一端口的进程在不同命名空间中互不干扰。
3.2 创建与管理网络命名空间
Linux 提供 ip netns 命令集来管理网络命名空间。以下为常用操作及对应命令：
| 操作 | 命令示例 | 说明 |
|---|---|---|
| 创建命名空间 | ip netns add ns1 |
创建一个名为 ns1 的网络命名空间 |
| 列出所有命名空间 | ip netns list |
显示系统中所有已创建的网络命名空间 |
| 删除命名空间 | ip netns delete ns1 |
删除指定的命名空间及其内部虚拟设备 |
| 在命名空间内执行命令 | ip netns exec ns1 ip addr |
在 ns1 命名空间内查看 IP 地址 |
| 进入命名空间 Shell | ip netns exec ns1 bash |
进入 ns1 的交互式 Shell 环境 |
实践建议：创建命名空间后，默认只有回环接口（lo）。需要手动启用 lo 接口：
ip netns exec ns1 ip link set lo up。若需跨命名空间通信，必须借助 veth pair 或网桥等虚拟设备。
3.3 veth pair 连接原理
veth（Virtual Ethernet）pair 是一对虚拟以太网接口，它们像一根“网线”的两端——数据从一端进入，立即从另一端出来。veth pair 通常用于连接两个不同的网络命名空间，实现跨命名空间的二层数据交换。
veth pair 的特点：
- 成对出现，一端位于一个命名空间，另一端位于另一个命名空间或根命名空间。
- 工作在二层（数据链路层），支持广播、组播和 ARP 协议。
- 两端可以配置不同的 IP 地址，形成点对点链路。
- 常用于构建容器网络、虚拟路由器以及多租户隔离拓扑。
3.4 创建 veth pair 并连接命名空间
以下步骤演示如何创建两个网络命名空间，并通过 veth pair 实现它们之间的通信：
- 创建两个网络命名空间
ip netns add red
ip netns add blue- 创建 veth pair
ip link add veth-red type veth peer name veth-blue- 将 veth 两端分别移入命名空间
ip link set veth-red netns red
ip link set veth-blue netns blue- 配置 IP 地址并启用接口
ip netns exec red ip addr add 10.0.0.1/24 dev veth-red
ip netns exec red ip link set veth-red up
ip netns exec red ip link set lo up
ip netns exec blue ip addr add 10.0.0.2/24 dev veth-blue
ip netns exec blue ip link set veth-blue up
ip netns exec blue ip link set lo up- 验证连通性
ip netns exec red ping -c 3 10.0.0.2
常见错误：
- 忘记启用 lo 接口，导致 ping 回环地址失败。
- veth 两端 IP 地址不在同一子网，导致 ARP 无法解析。
- 未将 veth 接口移入命名空间前就配置 IP，导致 IP 配置在根命名空间。
- 删除命名空间前未清理 veth pair，可能导致残留虚拟设备。
3.5 多对 veth pair 与多租户拓扑
在实际多租户场景中，通常需要同时连接多个命名空间。以下表格对比了不同连接方式：
| 连接方式 | 拓扑结构 | 隔离性 | 扩展性 | 典型场景 |
|---|---|---|---|---|
| 点对点 veth pair | 两两直连 | 高（完全隔离） | 低（N 个命名空间需 N(N-1)/2 对） | 测试环境、简单隔离 |
| veth + Linux Bridge | 星型（桥接） | 中（共享广播域） | 高（桥接可挂载大量 veth） | 容器网络、虚拟化 |
| veth + OVS | 可编程交换 | 中高（支持流表隔离） | 高（支持 SDN 控制） | 多租户数据中心 |
3.6 性能考量与瓶颈分析
veth pair 作为纯虚拟设备，其性能接近原生内核网络栈，但在多租户高并发场景下仍存在以下瓶颈：
- CPU 开销：每个数据包穿越 veth pair 需经过完整的网络协议栈处理，包括软中断和内存拷贝。大量小包场景下 CPU 占用显著。
- Bridge 转发延迟：当多个 veth 挂载到同一 Linux Bridge 时，MAC 地址学习和泛洪可能增加转发延迟。
- 命名空间切换开销：数据包从一个命名空间到另一个命名空间涉及内核命名空间上下文切换，频繁切换会降低吞吐量。
- iptables 规则匹配：若在根命名空间或租户命名空间内配置大量 iptables 规则，每个数据包都需要规则匹配，成为性能瓶颈。
优化建议：
- 使用
ethtool -K关闭 veth 接口的校验和卸载（checksum offload）以减少 CPU 消耗。 - 对于高性能场景，考虑使用 OVS 的 DPDK 加速或 eBPF/XDP 绕过内核协议栈。
- 合理规划 IP 子网，减少 Bridge 的广播流量。
- 使用
tc qdisc进行流量整形和限速，避免单个租户抢占带宽。