Linux 3.8内核中包括了6种命名空间：
| 命名空间 | 描述 |
|---|---|
| Mount（mnt） | 隔离挂载点 |
| Process ID(process) | 隔离进程ID |
| Network（net） | 隔离网络设备、协议栈、端口等 |
| InterProcess Communication（ipc） | 隔离进程间通信 |
| UTS | 隔离Hostname和NIS域名 |
| User ID(user) | 隔离用户和group ID |
还有一个CGroup Name Space，和上述这些命名空间是container技术的一个基础。
这篇文章我们只讨论Network Namespaces
1. 创建一个新的network namespace
$ ip netns add blue
查看新创建network namespace
$ ip netns list
2. 分配一个网络接口给Network Namespaces
首先我们考虑一下虚拟网卡Veth， veth很有意思；它都是成对出现的，就像一个管道的两端，从这个管道的一端的veth进去的数据会从另一端的veth再出来。也就是说，你可以使用veth接口把一个网络命名空间连接到外部的默认命名空间或者global命名空间，而物理网卡就存在这些命名空间里。
首先我们来创建一个veth对：
$ ip link add veth0 type veth peer name veth1
这一条命令就会同时创建veth0和veth1两个虚拟网卡，运行如下命令来验证一下
$ ip link list
这个时候你就可以看到这一对veth接口了
4: veth1@veth0: mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether be:68:5b:da:60:1d brd ff:ff:ff:ff:ff:ff
5: veth0@veth1: mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether d2:70:e9:c1:31:2f brd ff:ff:ff:ff:ff:ff
这个时候这两个网卡还都属于“default”或“global”命名空间，和物理网卡一样。
现在我们要把这个global namesapce连接到blue namespace，做法就是把其中的一个veth转移到blue命名空间中去，
$ ip link set veth1 netns blue
这个时候再用命令ip link list来查看就会发现veth1不见了，这个时候veth1以及设置到了blue命名空间中了，运行如下命令查看
$ ip netns exec blue ip link list
这个时候你可以看到里面有两个网络接口
- 一个是回环网络lo
- 另一个是veth1
1: lo: mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
4: veth1@if5: mtu 1500 qdisc noop state DOWN mode DEFAULT group default qlen 1000
link/ether be:68:5b:da:60:1d brd ff:ff:ff:ff:ff:ff link-netnsid 0
3. 配置Network Namespaces里面的网络接口
可以通过运行如下命令来配置blue命名空间中的veth1接口
$ ip netns exec blue ip addr add 10.1.1.1/24 dev veth1
$ ip netns exec blue ip link set veth1 up
$ ip netns exec blue ip link set lo up
这个命令中，通过ip addr add命令给veth1分配了一个IP 地址，并且把这个网卡启动了；同时也启动了回环网卡；
然后查看一下blue命名空间里面的两个网卡的状态
$ ip netns exec blue ip addr show
1: lo: mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
11: veth1@if12: mtu 1500 qdisc noqueue state LOWERLAYERDOWN group default qlen 1000
link/ether a6:41:bf:fc:8c:5e brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.1.1.1/32 scope global veth1
valid_lft forever preferred_lft forever
同时还需要配置一下host上面对端网卡的ip
$ ip addr add 10.1.1.2/24 dev veth0
$ ip link set veth0 up
这个时候在blue命名空间里面ping 10.1.1.1（veth1）已经ok了
root@ubuntu:~# ip netns exec blue ping 10.1.1.1
PING 10.1.1.1 (10.1.1.1) 56(84) bytes of data.
64 bytes from 10.1.1.1: icmp_seq=1 ttl=64 time=0.058 ms
但是依旧ping不通10.1.1.2（veth0）
这是因为blue命名空间中的路由还没有设置。
4. 设置命名空间内的路由
通过如下命令来设置一个默认路由
$ ip netns exec blue ip route add default via 10.1.1.1
$ ip netns exec blue ip route show
default via 10.1.1.1 dev veth1
所有找不到目的地址的数据包都通过设备veth1转发出去。
这个时候就可以成功ping通host上的veth0网卡了
$ip netns exec blue ping 10.1.1.2
PING 10.1.1.2 (10.1.1.2) 56(84) bytes of data.
64 bytes from 10.1.1.2: icmp_seq=1 ttl=64 time=0.086 ms
但是到了这里依旧还不够，blue命名空间中已经可以联通主机上的网络，但是依旧连不同主机以外的外部网络。这个时候必须在host主机上启动转发，并且在iptables中设置伪装
5. 使能IP转发：IP_FORWARD
Linux系统的IP转发的意思是，当Linux主机存在多个网卡的时候，允许一个网卡的数据包转发到另外一张网卡；在linux系统中默认禁止IP转发功能，可以打开如下文件查看，如果值为0说明禁止进行IP转发
cat /proc/sys/net/ipv4/ip_forward
运行如下的命令，其中ens160是host的一个对外网卡，这样的就允许ens160和veth0之间的转发；也就是说blue命名空间可以和外网联通了。
#使能ip转发
echo 1 > /proc/sys/net/ipv4/ip_forward
#刷新forward规则
iptables -F FORWARD
iptables -t nat -F
#刷新nat规则
iptables -t nat -L -n
#使能IP伪装
iptables -t nat -A POSTROUTING -s 10.1.1.0/255.255.255.0 -o ens160 -j MASQUERADE
#允许veth0和ens160之间的转发
iptables -A FORWARD -i ens160 -o veth0 -j ACCEPT
iptables -A FORWARD -o ens160 -i veth0 -j ACCEPT
- 使能IP伪装这条语句，添加了一条规则到NAT表的POSTROUTING链中，对于源IP地址为10.1.1.0网段的数据包，用ens160网口的IP地址替换并发送。
- iptables -A FORWARD这两条语句使能物理网口ens160和veth0之间的数据转发
6. 演示一下整个流程
7. 完整的示例代码
#!/bin/bash
#Create new namesapce
ip netns delete ns1
ip netns add ns1
ip link add veth0 type veth peer name veth1
ip link set veth0 netns ns1
echo "====Create New Network namespace and spcify a eth===="
ip netns list
ip netns ns exec if config -a
#Assign the IP and bring up
ip addr add 10.100.1.1/24 dev veth1
ip link set veth1 up
ip netns exec ns1 ip addr add 10.100.1.2/24 dev veth0
ip netns exec ns1 ip link set veth0 up
ip netns exec ns1 ip link set lo up
echo "====Bring up the veth0 and lo inside Namespace===="
ip netns exec ns1 ip addr show
#add route inside namespace
ip netns exec ns1 ip route add default via 10.100.1.1
echo "====Add new default rout inside the namespace===="
ip netns exec ns1 ip route show
echo "====Tryting to ping the veth1 on host===="
ip netns exec ns1 ping 10.100.1.1 -c 4
#Config the host to enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -P FORWARD DROP
iptables -F FORWARD
iptables -t nat -F
#enalbe masquerading of 10.100.1.0
iptables -t nat -A POSTROUTING -s 10.100.1.0/255.255.255.0 -o ens160 -j MASQUERADE
#Allow forwarding
iptables -A FORWARD -i ens160 -o veth1 -j ACCEPT
iptables -A FORWARD -o ens160 -i veth1 -j ACCEPT
echo "====Enable the forwarding of veth1 to ens160(NIC)on host ===="
echo "Show the iptables of filter"
iptables -L -n
echo "Show the iptables of nat"
iptables -t nat -L -n
参考文档
https://coolshell.cn/articles/17010.html
https://coolshell.cn/articles/17029.html
https://segmentfault.com/a/1190000005794036
https://blogs.igalia.com/dpino/2016/04/10/network-namespaces/