Docker基础教程（三）容器技术原理之namespace：别让进程在裸奔！Container魔法结界的核心黑科技：Namespace漫谈-优快云博客

第一章：容器？不就是穿上衣服的进程吗！

各位码友，假设你是一家公司的超级HR（操作系统），手下管理着无数打工人（进程）。如果所有打工人都挤在一个大开间里裸奔办公——A程序说“我要占用80端口！”，B程序大喊“我是PID为1的霸主！”，C程序一不小心删除了系统文件...这场面，简直比菜市场还混乱！

于是，容器技术闪亮登场！它就像给每个打工人分配了独立的豪华办公室（容器），里面有独立的电话线（网络）、门牌号（PID）、文件柜（文件系统）甚至公司冠名权（主机名）。而打造这些办公室的核心技术，就是我们今天的男一号——Namespace。

简单说，Namespace是Linux内核的一项功能，它能够将全局系统资源包装成属于自己的“套娃”视图，让处于不同Namespace的进程拥有彼此隔离的资源视角。就像给你的进程戴上了VR眼镜，它看到的世界是你精心编造的“数字谎言”。

第二章：Namespace六脉神剑，剑剑封喉

Linux内核实现了多达8种Namespace（随着版本还在增加），但我们先重点聊聊最核心的6种，堪称隔离界的“六脉神剑”：

PID Namespace (进程隔离)：中冲剑，气势雄浑。它让进程在自己的Namespace里自信满满地以为自己是PID为1的“init进程”（万物之父），殊不知在宿主机看来它可能只是个PID为1024的小弟。这完美解决了进程号冲突的世纪难题。
Network Namespace (网络隔离)：关冲剑，巧妙灵活。每个Namespace都有自己的网卡（虚拟的）、路由表、防火墙规则。容器内的80端口狂飙，丝毫不影响宿主机或其他容器同样使用80端口，就像给每个办公室拉了独立宽带。
Mount Namespace (文件系统隔离)：少商剑，剑路雄劲。它让每个容器都拥有自己独立的文件系统挂载点视图。你在容器里挂载一个光盘，不会让宿主机的文件系统被塞满小电影。这是实现镜像分层的基础。
UTS Namespace (主机名隔离)：少泽剑，轻灵迅速。允许每个容器自定义自己的主机名和域名（uname -n）。这样，你可以在一个机器上同时拥有“阿里的生产库”和“腾讯的测试服”，中二感拉满。
IPC Namespace (进程间通信隔离)：商阳剑，忽来忽去。隔离System V IPC和POSIX message queues等资源。防止A容器的进程通过共享内存偷窥B容器的私密数据。
User Namespace (用户隔离)：少冲剑，轻巧敏捷。它实现了用户和用户组ID的映射。容器内你是威风凛凛的root皇帝，在宿主机上你可能只是个UID为1000的平民，极大提升了安全性。

第三章：魔法咒语：手动召唤Namespace

光说不练假把式。让我们抛开Docker，徒手念咒（敲命令），亲自施展Namespace魔法。

示例1：UTS Namespace - 给我一个全新的身份！

# 在宿主机上查看当前主机名
hostname # 大概率输出你的电脑名，比如 my-laptop

# 使用 unshare 命令创建一个新的UTS namespace，并启动一个bash shell
sudo unshare --uts /bin/bash

# 现在，你已经进入了新的“结界”（UTS Namespace）
# 在这个bash中，修改主机名完全不会影响外界
hostname my-awesome-container
hostname # 输出: my-awesome-container

# 打开另一个终端，查看宿主机的主机名，它依然还是 my-laptop
# 看，魔法生效了！

示例2：PID Namespace - 当一回“万物之父”

# 创建一个新的PID namespace，并用 fork 生成新进程
sudo unshare --pid --fork /bin/bash

# 查看进程，你会发现只有寥寥几个，而且bash自己成了PID 1！
ps aux
# 输出可能只有：
#   PID USER TIME COMMAND
#     1 root  0:00 /bin/bash
#    10 root  0:00 ps aux

# 这种“我是创世神”的感觉，爽不爽？

第四章：Go语言编程实战：造一个迷你容器

手动敲命令不过瘾？我们上代码，用Go语言的syscall包直接调用内核接口，真正“徒手搓容器”。

以下程序将创建一个具有独立UTS和PID namespace的“迷你容器”。

package main

import (
	"fmt"
	"os"
	"os/exec"
	"syscall"
)

func main() {
	switch os.Args[1] {
	case "run":
		run()
	case "child":
		child()
	default:
		panic("what?")
	}
}

func run() {
    // 使用 /proc/self/exe 来调用自己，并传入参数 "child"
	cmd := exec.Command("/proc/self/exe", "child")
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.Stderr = os.Stderr

    // 设置创建新Namespace的标识位
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWPID,
	}

	must(cmd.Run())
}

func child() {
	fmt.Printf("运行在新的Namespace中的进程 PID: %d\n", os.Getpid())

    // 设置新的主机名
	must(syscall.Sethostname([]byte("my-magic-box")))

    // 执行一个shell，让我们在里面玩耍
	cmd := exec.Command("/bin/sh")
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.Stderr = os.Stderr

	must(cmd.Run())
}

func must(err error) {
	if err != nil {
		panic(err)
	}
}

编译并运行这个魔法程序：