linux网络隔离通过network namespace为不同进程提供独立网络环境。1. 使用ip netns add创建namespace；2. 用ip link add创建veth对连接不同namespace；3. 配置ip地址和路由实现通信；4. 通过ip netns exec执行命令或nsenter将进程移入指定namespace；5. 应用于容器技术、安全测试等领域；6. 删除时需确保无进程运行且清理相关接口。
Linux网络隔离，简单来说，就是让不同的进程拥有各自独立的网络栈，互不干扰。这在容器技术、安全测试等场景下非常有用。实现的关键在于Linux Namespace，特别是Network Namespace。
解决方案
Network Namespace 提供了一个独立的网络环境，包括网络接口、路由表、防火墙规则等。要实现网络隔离，我们需要创建新的 Network Namespace，并将进程或网络接口移动到这些 Namespace 中。
-
创建 Network Namespace:
使用
ip netns add <namespace_name>命令创建新的 Network Namespace。例如：ip netns add netns1
-
查看已创建的 Network Namespace:
使用
ip netns list命令可以查看当前系统中已创建的 Network Namespace。ip netns list
-
在 Network Namespace 中执行命令:
使用
ip netns exec <namespace_name> <command>命令可以在指定的 Network Namespace 中执行命令。例如，查看netns1中的网络接口：ip netns exec netns1 ip addr
你会发现，默认情况下，新的 Network Namespace 中只有一个
lo(loopback) 接口。 -
创建虚拟网络接口 (veth pairs):
为了让不同的 Network Namespace 之间能够通信，我们需要创建虚拟网络接口对 (veth pairs)。veth pairs 就像一根网线，连接两个不同的 Namespace。
ip link add veth0 type veth peer name veth1 netns netns1
这条命令创建了两个虚拟网络接口：
veth0在默认的 Network Namespace 中，veth1在netns1中。 -
配置网络接口:
我们需要为这些网络接口配置 IP 地址，并启用它们。
ip addr add 192.168.10.1/24 dev veth0 ip link set veth0 up ip netns exec netns1 ip addr add 192.168.10.2/24 dev veth1 ip netns exec netns1 ip link set veth1 up ip netns exec netns1 ip link set lo up # 别忘了启用 loopback 接口
-
配置路由:
为了让两个 Network Namespace 能够互相 ping 通，需要配置路由。
在默认的 Network Namespace 中：
ip route add 192.168.10.0/24 dev veth0
在
netns1中：ip netns exec netns1 ip route add default via 192.168.10.1
-
测试连通性:
现在，你应该可以从默认的 Network Namespace ping 通
netns1中的veth1接口了。ping 192.168.10.2
反过来，也可以从
netns1ping 通默认 Network Namespace 中的veth0接口：ip netns exec netns1 ping 192.168.10.1
-
将进程移动到 Network Namespace:
使用
ip netns exec只能在 Namespace 中执行单条命令。如果想让一个进程始终运行在某个 Namespace 中，可以使用nsenter命令。 但是通常更简单的方式是使用docker run --net=none创建一个容器，然后手动配置容器内的网络。另一种方法是，你可以先启动进程，然后使用
setns()系统调用将其移动到指定的 Network Namespace。这需要编写 C 代码或者使用一些工具。
Network Namespace 隔离的实际应用场景有哪些？
Network Namespace 隔离最常见的应用场景之一是容器技术，例如 Docker 和 Kubernetes。容器利用 Network Namespace 来创建隔离的网络环境，使得每个容器拥有自己的网络栈，互不干扰。此外，在安全测试和网络仿真中，Network Namespace 也被广泛使用，可以模拟复杂的网络拓扑，进行安全漏洞分析和性能测试。
如何删除 Network Namespace？
使用 ip netns delete <namespace_name> 命令可以删除指定的 Network Namespace。例如：
ip netns delete netns1
注意： 在删除 Network Namespace 之前，需要确保该 Namespace 中没有正在运行的进程，并且所有相关的网络接口都已被删除或移动到其他 Namespace 中。否则，可能会导致系统不稳定。
