玩转Linux network namespace
使用ip netns命令操作network namespace
创建一个network namespace名为nstest。
[ ~]# ip netns add nstest
列出系统中已存在的network namespace
[ ~]# ip netns list nstest
删除一个network namespace
[ ~]# ip netns delete nstest
在network namespace中执行一条命令
[ ~]# ip netns exec nstest ip addr
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
命令格式：
ip netns exec [network namespace name] [command]使用ip命令为network namespace配置网卡。
当使用ip netns add命令创建一个network namespace后，就拥有了一个独立的网空间，可以根据需求来配置网络空间，如添加网卡，配置IP，设置路由规则等，当使用ip命令创建一个network namespace时，会默认创建一个回环设备（loopback interface:lo）。该设备默认不启动，用最好将其启动。
[ ~]# ip netns exec nstest ip link set dev lo up
在主机上创建两张网卡veth-a和veth-b
[ ~]# ip link add veth-a type veth peer name veth-b
将veth-b设备添加到nstest这个network namespace中， veth-a留在主机中
[ ~]# ip link set veth-b netns nstest
现在nstest这个network namespace就有了两块网卡lo和veth-b，来验证一下。
[ ~]# ip netns exec nstest ip link
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
4: : <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT qlen 1000
link/ether 4e:3c:eb:70:76:76 brd ff:ff:ff:ff:ff:ff link-netnsid 0现在可以为网卡分配IP并启动网卡了。
在主机上为veth-a配置IP并启动
[ ~]# ip addr add 10.0.0.1/24 dev veth-a [ ~]# ip link set dev veth-a up
为nstest中的veth-b配置IP并启动。
[ ~]# ip netns exec nstest ip addr add 10.0.0.2/24 dev veth-b [ ~]# ip netns exec nstest ip link set dev veth-b up
给两张网卡配置了IP后，会在各自的network namespace中生成一条路由，用ip route或route -a命令查看一下。
[ ~]# ip route default via 192.168.1.1 dev ens33 proto static metric 100 10.0.0.0/24 dev veth-a proto kernel scope link src 10.0.0.1 172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1 192.168.1.0/24 dev ens33 proto kernel scope link src 192.168.1.220 metric 100 在nstest network namespce中 [ ~]# ip netns exec nstest ip route 10.0.0.0/24 dev veth-b proto kernel scope link src 10.0.0.2
这两条路由表明的意义是目的地址为10.0.0.0/24网络的IP包分别从veth-a和veth-b发出。现在nstest这个network namespace有了自己的网卡，IP地址，路由表等信息，俨然成了一台小型的虚拟机，测试一下它的连通性，以检查配置是否正确。
从主机的veth-a网卡ping nstest network namespace的veth-b网卡。
[ ~]# ping 10.0.0.2 PING 10.0.0.2 (10.0.0.2) 56(84) bytes of data. 64 bytes from 10.0.0.2: icmp_seq=1 ttl=64 time=0.429 ms 64 bytes from 10.0.0.2: icmp_seq=2 ttl=64 time=0.116 ms ^C --- 10.0.0.2 ping statistics --- 2 packets transmitted, 2 received, 0% packet loss, time 1000ms rtt min/avg/max/mdev = 0.116/0.272/0.429/0.157 ms
从nstest network namespace的veth-b网卡ping主机的veth-a网卡
[ ~]# ip netns exec nstest ping 10.0.0.1 PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data. 64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=0.108 ms 64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.053 ms 64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.070 ms 64 bytes from 10.0.0.1: icmp_seq=4 ttl=64 time=0.051 ms ^C --- 10.0.0.1 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3001ms rtt min/avg/max/mdev = 0.051/0.070/0.108/0.024 ms
将两个network namespace连接起来
创建两个network namespace ns1 ns2
[ ~]# ip netns add ns1 [ ~]# ip netns add ns2
创建veth pair设备veth-a，veth-b
[ ~]# ip link add veth-a type veth peer name veth-b
将网卡分别放在两个naemspace中
[ ~]# ip link set veth-a netns ns1 [ ~]# ip link set veth-b netns ns2
启动两张网卡。
[ ~]# ip netns exec ns1 ip link set dev veth-a up [ ~]# ip netns exec ns2 ip link set dev veth-b up
分配IP
[ ~]# ip netns exec ns1 ip addr add 10.0.0.1/24 dev veth-a [ ~]# ip netns exec ns2 ip addr add 10.0.0.2/24 dev veth-b
验证连通
[ ~]# ip netns exec ns1 ping 10.0.0.2 PING 10.0.0.2 (10.0.0.2) 56(84) bytes of data. 64 bytes from 10.0.0.2: icmp_seq=1 ttl=64 time=0.480 ms 64 bytes from 10.0.0.2: icmp_seq=2 ttl=64 time=0.048 ms 64 bytes from 10.0.0.2: icmp_seq=3 ttl=64 time=0.135 ms 64 bytes from 10.0.0.2: icmp_seq=4 ttl=64 time=0.115 ms ^C --- 10.0.0.2 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3002ms rtt min/avg/max/mdev = 0.048/0.194/0.480/0.168 ms [ ~]# ip netns exec ns2 ping 10.0.0.1 PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data. 64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=0.097 ms 64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.108 ms 64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.112 ms ^C --- 10.0.0.1 ping statistics --- 3 packets transmitted, 3 received, 0% packet loss, time 1999ms rtt min/avg/max/mdev = 0.097/0.105/0.112/0.013 ms
通过veth pair设备连接起来的两个network namespace就好像直接通过网线连接起来的两台机器
如果有更多的network namespace需要连接，那就有必要引入虚拟网桥了，就如同docker的网络一样。