Linux Network Namespace 入门

原创 已于 2025-07-21 11:07:27 修改 · 1.1k 阅读 · 16 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#docker #linux

于 2025-07-21 11:06:57 首次发布

隔离你的网络环境：Linux Network Namespace 入门

你可能想知道，在同一个 Linux 系统里，不同的程序能不能拥有各自独立的网络设置？比如，让一个程序只能访问特定网站，而另一个程序可以自由访问所有网络资源，并且它们之间互不干扰。这正是 Linux Network Namespace 的核心功能。

什么是 Network Namespace？

在 Linux 系统中，默认情况下，所有网络相关的配置，包括网卡、IP 地址、路由规则、防火墙设置等，都属于一个叫做 “init” Network Namespace 的默认环境。当你运行程序时，它们通常在这个默认空间里，共享着相同的网络配置。

Network Namespace 允许你创建完全独立且隔离的网络环境。这意味着每个 Namespace 都拥有：

  • 独立的网络接口： 比如 eth0、lo 等，在一个 Namespace 里看到的网卡，在另一个 Namespace 里是不可见的。
  • 独立的 IP 地址： 不同 Namespace 可以使用相同的 IP 地址，因为它们互不影响。
  • 独立的路由表： 决定数据包如何传输到目的地。
  • 独立的 ARP 表： 用于将 IP 地址解析为物理 MAC 地址。
  • 独立的防火墙规则 (iptables)： 每个 Namespace 都能有自己一套防火墙策略，彼此独立。

为什么需要 Network Namespace？

Network Namespace 在很多场景下都非常有用：

  • 容器技术： Docker、Kubernetes 等工具正是利用 Network Namespace 为每个容器提供了隔离的网络环境。
  • 网络功能虚拟化 (NFV)： 将路由器、防火墙等网络设备以软件形式运行，每个都在独立的 Namespace 中。
  • 测试与开发： 在不影响主系统网络的情况下，安全地测试新的网络配置或应用程序。
  • 安全隔离： 限制应用程序的网络访问范围，提高系统安全性。

网络配置实践解析

现在，我们一步步执行命令，了解如何建立一个独立网络环境并使其与主系统通信的。

1. 创建并进入一个独立网络环境
[root@localhost ~]# ip netns ls

这个命令用来列出当前系统中的所有 Network Namespace。刚开始执行时，可能没有输出，因为你可能只在使用默认的主 Namespace。

[root@localhost ~]# ip netns add game

这条命令创建了一个名为 “game” 的新 Network Namespace。现在，系统有了一个全新的、独立的网络配置区域。

[root@localhost ~]# ip netns ls
game

再次列出 Namespace，你会看到 “game” 已经出现在列表中。

[root@localhost ~]# ip netns exec game bash

ip netns exec 命令的作用是在指定的 Network Namespace 中执行命令。这里，我们告诉系统在 “game” Namespace 里启动一个新的 bash 会话。

此刻，你所处的是一个完全隔离的网络环境。在这个 bash 会话里，你看到和操作的所有网络设备、IP 地址、路由表等，都只属于 “game” Network Namespace。

[root@localhost ~]# ip link
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

进入 “game” Namespace 后执行 ip link，你会发现只有一块名为 lo (回环网卡) 的网卡。这是因为每个新 Namespace 默认只包含一个回环网卡，它是完全独立的，看不到主 Namespace 的其他网卡，比如 ens33。

[root@localhost ~]# exit
exit

输入 exit 命令，你将退出 “game” Namespace 内的 bash 会话，返回到主 Namespace。

[root@localhost ~]# ip link
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP mode DEFAULT group default qlen 1000
    link/ether 00:0c:29:fd:5b:bb brd ff:ff:ff:ff:ff:ff
... (省略部分输出)

回到主 Namespace 后再次执行 ip link，你会看到熟悉的 ens33、virbr0 等网卡，这表明你已回到主系统的网络环境。

[root@localhost ~]# ip netns exec game ip link list
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

这个命令再次确认了 “game” Namespace 中只有 lo 网卡。

[root@localhost ~]# ip netns exec game route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref     Use Iface

在 “game” Namespace 中查看路由表，发现它是空的。这意味着 “game” Namespace 目前不知道如何将数据包发送到它自己网络之外的目的地。

[root@localhost ~]# route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref     Use Iface
0.0.0.0         192.168.1.2     0.0.0.0         UG    100     0       0 ens33
192.168.1.0     0.0.0.0         255.255.255.0   U     100     0       0 ens33
192.168.122.0   0.0.0.0         255.255.255.0   U     0       0 virbr0

这是主 Namespace 的路由表，包含连接到互联网和本地网络的路由信息。

[root@localhost ~]# ip netns exec game iptables -nL
... (输出为空)
[root@localhost ~]# ip netns exec game iptables -nL -t nat
... (输出为空)

这些命令显示了 “game” Namespace 中的防火墙 (iptables) 规则，它们也是空的，进一步证明了 Namespace 的隔离性。

2. 连接两个网络环境：使用 veth 网卡对

现在，“game” Namespace 是一个独立但无法与外界通信的网络环境。为了让 “game” Namespace 能够与主 Namespace 通信，我们需要建立一个连接。这个连接就是通过 veth (Virtual Ethernet) pair 实现的。

一个 veth pair 是一对虚拟网卡。它们像一根虚拟的网线，一端在主 Namespace，另一端在 “game” Namespace。任何通过一端发送的数据包都会从另一端接收到。

[root@localhost ~]# ip link add veth1_out type veth peer name veth1_in

这条命令创建了一个 veth pair。

  • veth1_out：是这个 veth pair 的一端，它将保留在主 Namespace。
  • veth1_in：是这个 veth pair 的另一端，我们计划将其移动到 “game” Namespace。
[root@localhost ~]# ip -br a
...
veth1_in@veth1_out DOWN
veth1_out@veth1_in DOWN

这时，你会在主 Namespace 看到新创建的 veth1_in 和 veth1_out。它们的名字后面带有 @ 和对方的名字，表示它们是相互连接的。

[root@localhost ~]# ip link set veth1_in netns game

这是关键一步！它将 veth1_in 这块网卡从主 Namespace 移动到 “game” Namespace。现在，veth1_out 仍在主 Namespace，而 veth1_in 已经进入 “game” Namespace。

[root@localhost ~]# ip link
...
6: veth1_out@if5: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 46:dc:ea:58:9f:5a brd ff:ff:ff:ff:ff:ff link-netnsid 0

在主 Namespace 中，你现在只能看到 veth1_out 了。

[root@localhost ~]# ip netns exec game ip link ls
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
5: veth1_in@if6: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/ether 46:3a:95:ba:87:ae brd ff:ff:ff:ff:ff:ff link-netnsid 0

在 “game” Namespace 中，你现在不仅有 lo 网卡，还看到了 veth1_in 网卡。这表明 veth pair 的两端已经分别位于不同的 Namespace 中。

3. 配置 IP 地址并启用网卡

为了让 veth 网卡能够传输数据，我们需要为它的两端都分配 IP 地址，并将其激活。

[root@localhost ~]# ip netns exec game ip addr add 192.168.110.2/24 dev veth1_in

这条命令在 “game” Namespace 中，给 veth1_in 网卡分配了 IP 地址 192.168.110.2，子网掩码为 /24。

[root@localhost ~]# ip netns exec game ip link set veth1_in up
[root@localhost ~]# ip netns exec game ip link set lo up

这两条命令分别激活了 “game” Namespace 中的 veth1_in 网卡和 lo 网卡。只有激活的网卡才能发送和接收数据。

[root@localhost ~]# ip addr add 192.168.110.1/24 dev veth1_out

这条命令在主 Namespace 中，给 veth1_out 网卡分配了 IP 地址 192.168.110.1，子网掩码为 /24。

[root@localhost ~]# ip link set veth1_out up

激活主 Namespace 中的 veth1_out 网卡。

现在，veth1_out (192.168.110.1) 在主 Namespace，veth1_in (192.168.110.2) 在 “game” Namespace，它们位于同一个 192.168.110.0/24 子网，可以通过这对虚拟网卡直接通信了。

4. 测试网络连通性
[root@localhost ~]# ping -c 5 192.168.110.2

这条命令在主 Namespace 中，尝试 ping “game” Namespace 中的 192.168.110.2。如果配置正确，你会看到 ping 成功，这表示主 Namespace 可以通过 veth1_out 与 veth1_in 通信。

[root@localhost ~]# ip netns exec game ping -c 4 192.168.110.1

这条命令在 “game” Namespace 中，尝试 ping 主 Namespace 中的 192.168.110.1。同样，如果成功，说明 “game” Namespace 可以通过 veth1_in 与 veth1_out 通信。

5. 让独立网络环境连接外部网络：配置路由和 IP 转发

尽管 “game” Namespace 现在可以和主 Namespace 通信了，但它还不能直接访问互联网或主 Namespace 之外的其他网络。这是因为 “game” Namespace 的路由表是空的。我们需要告诉它，如果想访问它不明确目的地的网络，应该把数据包发给谁。

[root@localhost ~]# ip netns exec game ip route add default via 192.168.110.1

这条命令在 “game” Namespace 中添加了一条默认路由。它的作用是：“如果 ‘game’ Namespace 要发送数据包到一个它不明确目的地的网络，那么就把这个数据包发送给 192.168.110.1（也就是主 Namespace 中的 veth1_out）。”

现在，veth1_out 就像一个网关，负责将 “game” Namespace 的数据包转发出去。

[root@localhost ~]# sysctl -p
net.ipv4.ip_forward = 1

[root@localhost ~]# cat /etc/sysctl.conf
# ...
net.ipv4.ip_forward=1

net.ipv4.ip_forward 是一个内核参数，它控制着 Linux 系统是否允许进行 IP 转发。默认情况下，这个功能是关闭的。当你将其设置为 1 时，就允许你的 Linux 主机充当路由器，将从一个网络接口收到的数据包转发到另一个网络接口。

在这里，我们开启了主 Namespace 的 IP 转发功能。这意味着，当 “game” Namespace 的数据包通过 veth1_in 发送到主 Namespace 的 veth1_out 时，主 Namespace 会检查自己的路由表，并将这些数据包转发到正确的目的地（比如互联网）。

[root@localhost ~]# ip netns exec game ping -c 4 192.168.1.148
PING 192.168.1.148 (192.168.1.148) 56(84) bytes of data.
... (ping 成功)

最后，在 “game” Namespace 中 ping 主 Namespace 的 IP 地址 192.168.1.148 (你的 ens33 网卡 IP)。这次 ping 成功了！

这是因为：

  1. “game” Namespace 中的 ping 命令会向 192.168.1.148 发送数据包。
  2. “game” Namespace 发现 192.168.1.148 不在 192.168.110.0/24 这个子网内，所以它会根据默认路由将数据包发送给 192.168.110.1 (也就是主 Namespace 的 veth1_out)。
  3. 主 Namespace 的 veth1_out 收到数据包后，由于 net.ipv4.ip_forward 已经开启，它会查看自己的路由表。
  4. 主 Namespace 发现 192.168.1.148 在它的 ens33 网卡所在的子网，于是将数据包通过 ens33 发送出去。
  5. 192.168.1.148 收到数据包并回复，回复的数据包也会经过主 Namespace 的路由转发，最终回到 “game” Namespace。

通过这些步骤，你成功地创建了一个独立的 Network Namespace “game”，并利用 veth 网卡对和 IP 转发功能，让它能够与主系统以及外部网络进行通信。

chen1108____
关注
Linux Network Namespace（网络名称空间）介绍、应用 及 详细的互通案例
weixin_44983653的博客
11-19 2547
Linux Network Namespace（网络名称空间）介绍、应用 及 详细的互通案例1、Network Namespace 介绍1.1 基本概念1.2 命令帮助 Network Namespace1.3 创建 Network Namespace 及后续相关命令操作1.3.1 ip netns exec 说明1.3.2 新创建名称空间启动 lo 接口2、Network Namespace 之...
【Docker系列】7-Docker 数据持久化和网络模式
Java架狗师知识框架速查表
06-16 528
在linux上，网络的隔离是通过network namespace来管理的，不同的network namespace是互相隔离的ip netns list：查看当前机器上的network namespace。(4)也就是说，在tomcat01中有一个eth0和centos的docker0中有一个veth3是成对的，类似于之前实战中的veth-ns1和veth-ns2，不妨再通过一个命令确认下：brctl。很显然，跟之前的实战是一样的，画个图。那如果是在两台centos7机器上呢？
Linux Namespace : Network
weixin_33766168的博客
08-13 268
Network namespace 在逻辑上是网络堆栈的一个副本，它有自己的路由、防火墙规则和网络设备。默认情况下，子进程继承其父进程的 network namespace。也就是说，如果不显式创建新的 network namespace，所有进程都从 init 进程继承相同的默认 network namespace。 每个新创建的 network namespace 默认有一个本地环回接口 lo...
网络命名空间（Network Namespace）：Linux容器网络隔离
最新发布
2501_93876125的博客
10-26 339
网络命名空间是Linux容器网络隔离的基石，提供了高效、安全的网络虚拟化。通过隔离网络栈，它使容器能够独立运行，同时支持复杂的网络拓扑（如Kubernetes集群）。在实际使用中，结合工具如CNI（Container Network Interface），可以简化管理。如果您有具体场景问题（如Docker网络配置），我可以进一步深入探讨！
network namespace
zhoucs86的博客
11-25 439
sudo unshare --uts --net /bin/bash readlink /proc/$$/ns/net ifconfig   应该是没有东西的 ip link set lo up  ip link add veth0 type veth peer name veth1 在原namespace当中拉起一个veth0,对段连的是veth1 ip link set veth1 netn...
linux 网络虚拟化：network namespace 简介
热门推荐
u012707739的博客
10-05 1万+
network namespace 是实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，它们有独自的网络栈信息。不管是虚拟机还是容器，运行的时候仿佛自己就在独立的网络中。这篇文章介绍 network namespace 的基本概念和用法，network namespace 是 linux 内核提供的功能，这篇文章借助 ip 命令来完成各种操作。ip 命令来自于 iproute2 安装包，一般系统
Network Namespace
缸子
06-07 1605
Network Namespace定义了一些端口的集合，这个集合内的端口和其他namespace中的端口没有直接的联系，不会直接link,转发和路由，可以看做一个单独的集合。 创建network namespace: ip netns add 列出已经创建的network namespace: ip netns list virtual Ethernet interface
17.17 - Linux Network Namespace.mp4
10-11
Docker技术入门与实战
【Linux内核namespace】：隔离技术在系统安全中的作用
[【Linux内核namespace】：隔离技术在系统安全中的作用](https://network-insight.net/wp-content/uploads/2022/07/rsz_control_grops.png) # 1. Linux内核namespace概述 Linux内核namespace是一种用于封装系统资源...
Docker 网络中 `iptables` 与 Linux Namespace 行为详解：原理、链路与实战排查路径
努力分享一些人工智能、计算机视觉、影像等相关的知识干货！
07-03 1035
在 Docker 网络体系中，`iptables` 与 Linux Namespace 是实现容器间隔离、地址转换与转发控制的核心机制。本文从网络命名空间构造、veth 对连接、iptables 链表流转等多个维度，全面解析容器从发送数据包到出网的全链路过程，结合实际部署中的调试与排错经验，深入剖析典型问题的行为表现与定位方式，帮助读者构建可理解、可调试、可扩展的容器网络知识体系。
容器技术与Linux namespace的关系解析
[Linux namespace](https://linuxpolska.com/wp-content/uploads/2019/08/Horizon-Network0.png) # 1. 容器技术概述 随着云计算和微服务架构的兴起，容器技术逐渐成为软件部署和运维领域的热门话题。容器本质上是一...
Linux namespace之：network namespace
小胡子
02-25 3292
理解network namespace network namespace用来隔离网络环境，「在network namespace中，网络设备、端口、套接字、网络协议栈、路由表、防火墙规则等都是独立的」。 因network namespace中具有独立的网络协议栈，因此每个network namespace中都有一个lo接口，但lo接口默认未启动，需要手动启动起来。 #-n或--net选项用于创建networknamespace $sudounshare-n/bin/bash #默认...
Linux Network Namespace
tycoon的专栏
09-05 1690
Linux Network Namespaces Linux kernel在2.6.29中加入了namespaces，用于支持网络的隔离，我们看一下namespace是如何使用的 创建与配置 创建一个名为blue的namespace ip netns add blue 列出所有的namespace ip netns list 分配网络接口到namespace上 我们可以将一对v
【记录】docker笔记（五）：Docker网络-Network Namespace
dopapapa的博客
05-15 823
要了解docker网络，先了解如下基础概念。Docker 网络的底层原理是Linux的，所以对于Namespace的理解对Docker网络底层原理的理解非常重要。简介Network Namespace 是Linux内核提供的用于实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，每个独立的网络空间内的防火墙、网卡、路由表、邻居表、协议栈都是独立的。不管是虚拟机还是容器，当运行在独立的命名空间时，就像是一台单独的主机一样Namespace连接案例。
Linux Namespace(网络命名空间)系列一 --- 网络命名空间基础与简单配置
weixin_43230594的博客
12-13 1876
Linux网络命名空间(network namespace)
《Kubernetes网络权威指南》读书笔记 | 网络虚拟化基石：network namespace
COCO_gsta的博客
10-12 579
书籍来源：《Kubernetes网络权威指南：基础、原理与实践》顾名思义，Linux的namespace（名字空间）的作用就是“隔离内核资源”。Linux的namespace给里面的进程造成了两个错觉：（1）它是系统里唯一的进程。（2）它独享系统的所有资源。默认情况下，Linux进程处在和宿主机相同的namespace，即初始的根namespace里，默认享有全局系统资源。尽管Linux的namespace隔离技术很早便存在于内核中，而且它就是为Linux的容器技术而设计的，但它一直鲜为人知。
Linux network namespace(网络命名空间)认知
山河已无恙
02-11 2317
整理K8s网络相关笔记博文内容涉及 Linux network namespace 认知以及彼此通信Demo，实际中的应用理解不足小伙伴帮忙指正不必太纠结于当下，也不必太忧虑未来，当你经历过一些事情的时候，眼前的风景已经和从前不一样了。——村上春树。
linux 网络虚拟化： network namespace 简介
北风
02-23 629
network namespace 是实现网络虚拟化的重要功能，它能创建多个隔离的网络空间，它们有独自的网络栈信息。不管是虚拟机还是容器，运行的时候仿佛自己就在独立的网络中。这篇文章介绍 network namespace 的基本概念和用法，network namespace 是 linux 内核提供的功能，这篇文章借助ip命令来完成各种操作。ip命令来自于iproute2安装包，一般系统会默认安装，如果没有的话，请读者自行安装。 NOTE：ip命令因为需要修改系统的网络配置，默认需要 sud...
网络虚拟化之network namespace
qq_26646107的博客
09-12 355
新增一个namspace: 在这里插入代码片 sudo ip netns add netns1 查看是否创建成功 ip netns list sudo ls /var/run/netns/netns1 查看namespace中的网络设备 sudo ip netns exec netns1 ip link list 删除namespace sudo ip netns delete netns1 增加一个自定义的namspace并测试回环网卡网络： 在这里插入代码片 sudo ip netns add
深入探索：Linux内核75个关键技术技巧
这里包括了控制组(Cgroups)、命名空间(Namespace)和Linux容器技术，它们是现代云环境和容器化应用的基础。调度策略、实时(RT)调度、公平组调度(Fair Group Scheduling)以及内存管理策略如cpuset和Memory Cgroup，都...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值