2. Linux 网络命名空间基础：理解 Network Namespace 概念，使用 ip netns 命令创建、删除、管理命名空间，实现基本的网络隔离。

2.1 什么是 Network Namespace？

Network Namespace（网络命名空间）是 Linux 内核提供的一项轻量级虚拟化技术，用于实现网络栈的隔离。每个 Network Namespace 拥有独立的网络设备、IP 地址、路由表、防火墙规则（iptables/ip6tables）、网络栈状态以及套接字（socket）实例。简单来说，一个 Network Namespace 就是一个独立的“网络沙箱”。

在默认情况下，Linux 系统启动后所有进程共享同一个网络命名空间（称为 root namespace 或 default namespace）。通过创建新的 Network Namespace，我们可以让进程“看到”完全不同的网络环境，从而实现多租户隔离、容器网络、测试环境模拟等高级功能。

2.2 Network Namespace 隔离了什么？

下表列出了 Network Namespace 隔离的关键网络资源，以及它们在不同命名空间之间的独立性：

2.3 Network Namespace 的层级关系与生命周期

Network Namespace 在 Linux 内核中通过 struct net 结构体表示，所有命名空间形成一个树形结构，但实际访问时通过文件系统路径 /var/run/netns/ 或 /proc/PID/ns/net 来引用。下图展示了命名空间之间的典型关系：

2.4 使用 ip netns 命令管理命名空间

ip netns 是 iproute2 工具包中专门用于管理 Network Namespace 的命令行工具。它提供了创建、删除、列出、执行命令等完整操作。以下是核心命令及其功能：

2.5 实战：创建与管理命名空间

下面通过一个完整的操作序列，演示如何创建、查看、进入和删除 Network Namespace。请以 root 权限执行以下命令：

步骤 1：创建两个命名空间

# 创建名为 red 和 blue 的两个网络命名空间
ip netns add red
ip netns add blue

# 验证创建结果
ip netns list

输出示例：

red
blue

步骤 2：查看命名空间中的网络设备

# 查看默认命名空间的网络设备（包含所有物理和虚拟设备）
ip link list

# 查看 red 命名空间的网络设备（只有 lo 设备）
ip netns exec red ip link list

# 查看 blue 命名空间的网络设备
ip netns exec blue ip link list

步骤 3：启动回环接口

# 在 red 命名空间中启用 lo 接口
ip netns exec red ip link set lo up

# 验证 lo 接口状态
ip netns exec red ip link show lo

# 测试回环通信
ip netns exec red ping 127.0.0.1 -c 2

步骤 4：在命名空间中执行任意命令

# 在 red 命名空间中启动一个 bash shell
ip netns exec red bash

# 此时 shell 提示符可能不变，但网络环境已隔离
# 查看当前命名空间的网络栈
cat /proc/net/dev
ip route show
iptables -L -n

# 退出命名空间
exit

步骤 5：删除命名空间

# 删除 red 命名空间
ip netns delete red

# 验证删除
ip netns list

# 清理 blue 命名空间
ip netns delete blue

2.6 命名空间之间的通信：veth 对的基本原理

默认情况下，不同 Network Namespace 之间是完全隔离的，无法直接通信。要实现跨命名空间通信，最常用的方法是使用 veth（Virtual Ethernet）对。veth 是一对虚拟网卡，像一根“网线”的两端：一端放入一个命名空间，另一端放入另一个命名空间（或 root namespace），数据包从一端进入就会从另一端出来。

2.7 实战：使用 veth 对连接两个命名空间

以下命令序列演示如何创建 veth 对，并将其两端分别放入 red 和 blue 命名空间，实现两个隔离网络之间的通信：

# 1. 创建两个命名空间
ip netns add red
ip netns add blue

# 2. 创建 veth 对（两端默认在 root namespace 中）
ip link add veth-red type veth peer name veth-blue

# 3. 将 veth 两端分别移入命名空间
ip link set veth-red netns red
ip link set veth-blue netns blue

# 4. 为 veth 接口配置 IP 地址并启用
ip netns exec red ip addr add 10.0.1.1/24 dev veth-red
ip netns exec red ip link set veth-red up
ip netns exec red ip link set lo up

ip netns exec blue ip addr add 10.0.1.2/24 dev veth-blue
ip netns exec blue ip link set veth-blue up
ip netns exec blue ip link set lo up

# 5. 测试连通性
ip netns exec red ping 10.0.1.2 -c 3

# 6. 查看路由表确认
ip netns exec red ip route
ip netns exec blue ip route

# 7. 清理
ip netns delete red
ip netns delete blue

预期输出（ping 部分）：

PING 10.0.1.2 (10.0.1.2) 56(84) bytes of data.
64 bytes from 10.0.1.2: icmp_seq=1 ttl=64 time=0.089 ms
64 bytes from 10.0.1.2: icmp_seq=2 ttl=64 time=0.072 ms
64 bytes from 10.0.1.2: icmp_seq=3 ttl=64 time=0.068 ms

--- 10.0.1.2 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2042ms

2.8 命名空间的持久化与文件系统视图

Network Namespace 在 Linux 中通过 /proc/PID/ns/net 文件表示。每个进程的 /proc/PID/ns/net 是一个符号链接，指向内核中该命名空间的唯一标识符。通过比较这些链接的 inode 号，可以判断两个进程是否在同一个命名空间中。

# 查看当前 shell 的命名空间标识
ls -l /proc/$$/ns/net

# 在 red 命名空间中查看标识
ip netns exec red ls -l /proc/$$/ns/net

# 比较两个命名空间的 inode 号
stat -L /proc/$$/ns/net
ip netns exec red stat -L /proc/$$/ns/net

ip netns 命令通过 /var/run/netns/ 目录下的 bind mount 来持久化命名空间。当你执行 ip netns add red 时，系统会：

1. 创建一个新的 Network Namespace。
2. 在 /var/run/netns/ 下创建一个名为 red 的文件。
3. 通过 mount --bind /proc/PID/ns/net /var/run/netns/red 将命名空间绑定挂载到该文件。

这样，即使命名空间中的所有进程退出，由于 bind mount 的存在，内核不会销毁该命名空间。

2.9 本章小结与知识图谱

通过本章的学习，你已经掌握了 Network Namespace 的核心概念和基本操作。以下是本章的知识结构总结：