答案：通过Golang调用Linux网络功能实现容器间通信，需创建网桥br0并配置veth pair连接容器与宿主机，为各容器分配IP并设置路由，利用netlink库操作网络设备，结合iptables配置SNAT和DNAT实现内外网通信，最终封装成模块化网络管理组件。
在使用 Golang 开发容器化应用或构建容器运行时（如简易版 Docker）时，实现容器间的网络通信是关键环节。Golang 本身不直接提供网络虚拟化能力，但可以调用 Linux 系统接口（如 netlink、namespace、bridge、veth 等）来完成容器网络的创建与管理。下面介绍如何通过 Golang 实现基本的容器网络通信。
理解容器网络的基本原理
容器网络依赖 Linux 内核的几个核心技术：
- Network Namespace：为每个容器提供独立的网络协议栈，包括接口、路由表、iptables 规则等。
- veth pair：一对虚拟网卡，一端放在宿主机，另一端放入容器命名空间，用于桥接通信。
- Linux Bridge：类似交换机，连接多个 veth 设备，实现同一宿主机上容器间的二层通信。
- iptables 和 NAT：实现容器访问外部网络（SNAT）以及外部访问容器服务（DNAT）。
要让两个容器互通，核心思路是：创建 bridge，为每个容器创建 veth pair 并接入 bridge，配置 IP 和路由。
使用 Golang 创建网桥和 veth 设备
可以通过 github.com/vishvananda/netlink 库操作网络设备。以下是一个创建网桥并添加 veth 的示例：
立即学习“go语言免费学习笔记（深入）”；
1. 创建网桥 br0：
import "github.com/vishvananda/netlink"
// 创建网桥
bridge := &netlink.Bridge{
LinkAttrs: netlink.LinkAttrs{Name: "br0"},
}
netlink.LinkAdd(bridge)
netlink.LinkSetUp(bridge)
2. 创建 veth pair 并将一端移入容器命名空间：
// 创建 veth 对
hostVeth := &netlink.Veth{LinkAttrs: netlink.LinkAttrs{Name: "veth0"}, PeerName: "veth1"}
netlink.LinkAdd(hostVeth)
// 获取容器命名空间（假设已通过 unshare 或 clone 创建）
ns, _ := netns.GetFromPath("/var/run/netns/container_ns")
// 将 veth1 移入容器命名空间
veth1, _ := netlink.LinkByName("veth1")
netlink.LinkSetNsFd(veth1, int(ns))
// 设置 host 端 up
netlink.LinkSetUp(&netlink.LinkAttrs{Name: "veth0"})
// 在容器命名空间内设置 IP 和 up
runtime.LockOSThread()
oldNs, _ := netns.Get()
netns.Set(ns)
defer func() {
netns.Set(oldNs)
}()
containerIface, _ := netlink.LinkByName("veth1")
netlink.LinkSetUp(containerIface)
addr, _ := netlink.ParseAddr("192.168.1.2/24")
netlink.AddrAdd(containerIface, addr)
重复上述步骤可为多个容器创建 veth 接入 br0，它们便能在 192.168.1.0/24 网段内互通。
实现容器与外部网络通信（NAT）
为了让容器访问外网（如互联网），需要开启 IP 转发并配置 SNAT：
- 启用宿主机 IP 转发：
sysctl -w net.ipv4.ip_forward=1 - 使用 iptables 添加 MASQUERADE 规则：
exec.Command("iptables", "-t", "nat", "-A", "POSTROUTING",
"-s", "192.168.1.0/24", "-j", "MASQUERADE").Run()
这样容器发出的数据包会被源地址替换为宿主机 IP，返回流量自动回流。
若需外部访问容器服务（如暴露 8080 端口），可添加 DNAT 规则：
exec.Command("iptables", "-t", "nat", "-A", "PREROUTING",
"-p", "tcp", "--dport", "8080",
"-j", "DNAT", "--to-destination", "192.168.1.2:80").Run()
封装网络管理模块
在实际项目中，建议将网络功能封装成独立模块，例如：
- NetworkManager：管理网桥生命周期，分配子网。
- Endpoint：表示一个容器接入点（veth + IP + 路由）。
- Sandbox：代表容器网络命名空间的操作上下文。
参考 containerd 或 CNI（Container Network Interface）的设计理念，可实现插件化网络配置，支持 bridge、macvlan、overlay 等模式。
基本上就这些。Golang 结合 netlink 库足以实现完整的容器网络管理，关键是理解 Linux 网络栈机制，并合理组织代码结构。不复杂但容易忽略细节，比如命名空间切换、错误处理和资源清理。
