如何实现Linux网络隔离 namespace创建与使用指南

技术教程
2025-07-09 08:20:02

linux网络隔离通过network namespace为不同进程提供独立网络环境。1. 使用ip netns add创建namespace；2. 用ip link add创建veth对连接不同namespace；3. 配置ip地址和路由实现通信；4. 通过ip netns exec执行命令或nsenter将进程移入指定namespace；5. 应用于容器技术、安全测试等领域；6. 删除时需确保无进程运行且清理相关接口。

Linux网络隔离，简单来说，就是让不同的进程拥有各自独立的网络栈，互不干扰。这在容器技术、安全测试等场景下非常有用。实现的关键在于Linux Namespace，特别是Network Namespace。

解决方案

Network Namespace 提供了一个独立的网络环境，包括网络接口、路由表、防火墙规则等。要实现网络隔离，我们需要创建新的 Network Namespace，并将进程或网络接口移动到这些 Namespace 中。

创建 Network Namespace:

使用 ip netns add <namespace_name></namespace_name> 命令创建新的 Network Namespace。例如：
```
ip netns add netns1
```
查看已创建的 Network Namespace:

使用 ip netns list 命令可以查看当前系统中已创建的 Network Namespace。
```
ip netns list
```
在 Network Namespace 中执行命令:

使用 ip netns exec <namespace_name><command></command></namespace_name> 命令可以在指定的 Network Namespace 中执行命令。例如，查看 netns1 中的网络接口：
```
ip netns exec netns1 ip addr
```
你会发现，默认情况下，新的 Network Namespace 中只有一个 lo (loopback) 接口。
创建虚拟网络接口 (veth pairs):

为了让不同的 Network Namespace 之间能够通信，我们需要创建虚拟网络接口对 (veth pairs)。veth pairs 就像一根网线，连接两个不同的 Namespace。
```
ip link add veth0 type veth peer name veth1 netns netns1
```
这条命令创建了两个虚拟网络接口：veth0 在默认的 Network Namespace 中，veth1 在 netns1 中。

配置网络接口:

我们需要为这些网络接口配置 IP 地址，并启用它们。

钉钉 AI 助理

钉钉AI助理汇集了钉钉AI产品能力，帮助企业迈入智能新时代。

204 查看详情钉钉 AI 助理

ip addr add 192.168.10.1/24 dev veth0
ip link set veth0 up

ip netns exec netns1 ip addr add 192.168.10.2/24 dev veth1
ip netns exec netns1 ip link set veth1 up
ip netns exec netns1 ip link set lo up # 别忘了启用 loopback 接口

配置路由:

为了让两个 Network Namespace 能够互相 ping 通，需要配置路由。

在默认的 Network Namespace 中：
```
ip route add 192.168.10.0/24 dev veth0
```
在 netns1 中：
```
ip netns exec netns1 ip route add default via 192.168.10.1
```
测试连通性:

现在，你应该可以从默认的 Network Namespace ping 通 netns1 中的 veth1 接口了。
```
ping 192.168.10.2
```
反过来，也可以从 netns1 ping 通默认 Network Namespace 中的 veth0 接口：
```
ip netns exec netns1 ping 192.168.10.1
```
将进程移动到 Network Namespace:

使用 ip netns exec 只能在 Namespace 中执行单条命令。如果想让一个进程始终运行在某个 Namespace 中，可以使用 nsenter 命令。但是通常更简单的方式是使用 docker run --net=none 创建一个容器，然后手动配置容器内的网络。

另一种方法是，你可以先启动进程，然后使用 setns() 系统调用将其移动到指定的 Network Namespace。这需要编写 C 代码或者使用一些工具。

Network Namespace 隔离的实际应用场景有哪些？

Network Namespace 隔离最常见的应用场景之一是容器技术，例如 Docker 和 Kubernetes。容器利用 Network Namespace 来创建隔离的网络环境，使得每个容器拥有自己的网络栈，互不干扰。此外，在安全测试和网络*中，Network Namespace 也被广泛使用，可以模拟复杂的网络拓扑，进行安全漏洞分析和性能测试。

如何删除 Network Namespace？

使用 ip netns delete <namespace_name></namespace_name> 命令可以删除指定的 Network Namespace。例如：