网络命名空间ip netns

Posted 2023-04-19

参考技术A namespace和cgroup是软件容器化趋势中的两个主要内核技术。简单来说，cgroup是一种对进程进行统一的资源监控和限制，控制着使用多少系统资源（CPU，内存等）。而namespace是对全局系统资源的一种封装隔离，它通过Linux内核对系统资源进行隔离和虚拟化的特性。

Linux内核2.4仅实现了mount namespace，从内核 2.6开始实现了，在内核 3.8 中才宣布完成6种类型的命名空间：Process ID  (pid)、Mount (mnt)、Network (net)、InterProcess Communication (ipc)、UTS、User ID (user)。随着Linux自身的发展以及容器技术持续发展带来的需求，会支持有新的namespace，比如在内核 4.6 中添加了Cgroup namespace。

Linux提供多个API用来操作namespace，分别是clone()、setns() 和unshare() 函数，为了确定隔离的namespace，在使用这些 API 时，通常要指定调用参数：CLONE_NEWIPC 、CLONE_NEWNET、CLONE_NEWNS、CLONE_NEWPID、CLONE_NEWUSER、CLONE_NEWUTS和CLONE_NEWCGROUP。

从Linux 3.8的内核开始，/proc/[pid]/ns 目录下会包含进程所属的 namespace 信息。

pid命名空间会使得进程只能看到同一pid命名空间中的进程。mnt命名空间，可以将进程附加到自己的文件系统(如chroot)。本文只关注网络命名空间 Network (net)。

网络命名空间为命名空间内的所有进程提供了全新隔离的网络协议栈。这包括网络接口，路由表和iptables规则。通过使用网络命名空间可以实现网络虚拟环境，实现彼此之间的网络隔离，这对于云计算中租户网络隔离非常重要，Docker中的网络隔离也是基于此实现的。

备注：ip命令要以root用户身份运行。

1.新增一个网络命名空间(名称netns0)

# ip netns add netns0

从系统的角度来看，当通过clone()系统调用创建一个新进程时，传递CLONE_NEWNET标志，在新进程中创建一个全新的网络命名空间。从用户的角度来看，使用ip命令创建一个新的名为netns0的持久网络命名空间。创建命名空间后，ip命令会在/var/run/netns目录下增加一个netns0文件。

列出系统中可用的命名空间：

# ip netns show 或ip netns list

2. 网络命名空间包含自己的网络资源：接口，路由表等。默认添加的网络命名空间netns0中会自动添加一个loopback(回环)接口但要手工开启回环口lo网卡

# ip netns exec netns0 ip link set lo up

查看网络lo回环口信息：

# ip netns exec netns0 ip a

# ip netns exec netns0 ping 127.0.0.1 -c 3

1) 创建2个网络命名空间

# ip netns add netns0

# ip netns add netns1

2) 模拟创建一根网线：

2.1) 先创建1对veth虚拟网络设备

# ip link add name vnet0 type veth peer name vnet1

# ip addr show

1: vnet1@vnet0: <BROADCAST,MULTICAST, M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000

link/ether 52:42:c3:02:54:38 brd ff:ff:ff:ff:ff:ff

2: vnet0@vnet1: <BROADCAST,MULTICAST, M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000

link/ether a6:20:57:dc:c6:dd brd ff:ff:ff:ff:ff:ff

注意：这两个虚拟网络设备都属于“default” 或“global”命名空间，和物理网卡一样。

2.2) 把veth0设置到netns0命名空间，把veth1设置到netns1命名空间：

# ip link set vnet0 netns netns0

# ip link set vnet1 netns netns1

2.3) 给两个主机分别配置ip(进入命名空间启动网卡然后给网卡配置ip)，然后互ping

# ip netns exec netns0 ip link set vnet0 up

# ip netns exec netns1 ip link set vnet1 up

# ip netns exec netns0 ip a add 192.168.0.2 dev vnet0

# ip netns exec netns1 ip a add 192.168.0.3 dev vnet1

# ip netns exec netns0 ping 192.168.0.3

connect: 网络不可达

2.4) 添加路由(互相配置对端ip为网关，为什么?)

# ip netns exec netns0 ip route add 192.168.0.3 dev vnet0

# ip netns exec netns1 ip route add 192.168.0.2 dev vnet1

在netns0中去ping netns1主机

# ip netns exec netns0 ping 192.168.0.3 -c 2

PING 192.168.0.3 (192.168.0.3) 56(84) bytes of data.

64 bytes from 192.168.0.3: icmp_seq=1 ttl=64 time=0.021 ms

64 bytes from 192.168.0.3: icmp_seq=2 ttl=64 time=0.047 ms

--- 192.168.0.3 ping statistics ---

以上仅限于同一主机上网络可达，但不同主机上的网络不通。

3) 在主机上配置ip转发，并且在 iptables 设置伪装。

ip转发指：当Linux主机存在多个网卡的时候，允许一个网卡的数据包转发到另外一张网卡。 iptables的介绍，请点我点我哦 。

3.1) 开启ip转发

echo 1 > /proc/sys/net/ipv4/ip_forward

3.2) 刷新forward规则

iptables -F FORWARD

iptables -t nat -F

3.3) 刷新nat规则

iptables -t nat -L -n

3.4) 告诉iptables伪装起来

iptables -t nat -A POSTROUTING -s  192.168.0.3/255.255.255.0 -o eth0 -j  MASQUERADE # eth0连接外网

3.5) 允许veth0和eth0之间的转发

iptables -A FORWARD -i eth0 -o veth0 -j  ACCEPT

iptables -A FORWARD -o eth0 -i veth0 -j  ACCEPT

https://zhuanlan.zhihu.com/p/65566171

https://blog.csdn.net/guotianqing/article/details/82356096

https://www.cnblogs.com/sparkdev/p/9365405.html 对namespace api的介绍

https://segmentfault.com/a/1190000006908272

https://man7.org/linux/man-pages/man7/namespaces.7.html

https://lwn.net/Articles/580893/

如何让 dhclient 知道命名空间？

【中文标题】如何让 dhclient 知道命名空间？

【英文标题】：How can dhclient be made namespace aware?

【发布时间】：2016-11-01 07:57:41

【问题描述】：

我正在使用命名空间来分隔服务器上的几个物理接口。路由工作完美。 此外，我在 /etc/netns/ 中的每个命名空间都有一个文件夹，例如/etc/netns/namespaceA/resolv.conf 以便 DNS 也能正常工作。

将 DHCP 与 dhclient 一起使用时会出现问题。 我正在从命名空间内运行 dhclient 并收到此错误。

(namespaceA)root@tc-vm:~#dhclient
RTNETLINK answers: File exists
mv: cannot move '/etc/resolv.conf.dhclient-new.2740' to '/etc/resolv.conf': Device or resource busy

我发现 /etc/resolvconf/update.d/libc 中的 mv 包含一个可能导致问题的 mv。

【参考方案1】：

我自己调查了这个问题。

发生的情况是，当您创建网络命名空间时，您会看到主机的 /etc/resolv.conf，除非您明确创建 /etc/netns/<namespace_name>/resolv.conf，这会在查找时自动绑定 mount 到 /etc/resolv.confinside 网络命名空间。因此，通过简单地创建该路径，主机的resolv.conf 将不再在网络命名空间上可见，它将拥有自己的resolv.conf。

ip netns 的 manual page 解释了这一点：

对于知道网络命名空间的应用程序，约定 就是先在里面找全局网络配置文件 /etc/netns/NAME/ 然后在 /etc/.例如，如果你想要一个不同的 用于隔离的网络命名空间的 /etc/resolv.conf 版本 您的 *** 您可以将其命名为 /etc/netns/my***/resolv.conf。

Ip netns exec 自动处理此配置、文件 通过创建一个不知道网络名称空间的应用程序的约定 挂载命名空间并绑定挂载每个网络命名空间的所有内容 将文件配置到 /etc 中的传统位置。

至于更新resolv.conf，dhclient 在/etc/netns/<namespace_name>/resolv.conf 存在时不能在网络命名空间中开箱即用（另一方面，当它不存在时，它将覆盖resolv.conf主机，因为它是唯一可用的，但这并不是真正可取的）。正如上述问题中的错误所示，dhclient 在/etc/resolv.conf.dhclient-new.2740 中准备了一个包含新名称服务器详细信息的临时文件，然后尝试将其重命名为/etc/resolv.conf。它会产生一个错误，因为/etc/resolv.conf 已经绑定安装并且显然mv 不允许这样做。

为了使dhclient 在网络命名空间中工作，应该修改/sbin/dhclient-script。 我删除了这个：

mv -f $new_resolv_conf /etc/resolv.conf

并将其替换为：

cat $new_resolv_conf > /etc/resolv.conf
rm -f $new_resolv_conf

否则，dhcpcd 似乎正确地完成了这项工作。

【讨论】：

这是一个很酷的解决方法。请注意，有两个部分您必须将 mv 更改为 cat。我想知道 mv 在做什么。是先删除文件吗？

差不多 4 年后，这个问题仍然存在（dhclient 4.4.2）