linux網絡命名空間通過veth pair實現隔離與通信，管理步驟如下：1. 使用ip netns add/delete創建/刪除命名空間；2. 用ip link set啟用默認lo接口；3. 創建veth pair并分配到命名空間；4. 分別配置兩端ip并啟用；5. 主機側開啟ip轉發和nat以實現跨命名空間通信；6. 可結合橋接設備統一管理多個命名空間路由；7. 利用ip netns exec執行命名空間內命令，通過nsenter調試進程所在命名空間。
linux的網絡命名空間（Network Namespace）是實現網絡隔離的重要機制，尤其在容器技術中應用廣泛。如果你需要為不同應用或服務創建獨立的網絡環境，網絡命名空間是一個非常實用的工具。
下面從幾個常見使用場景出發，講講怎么管理Linux網絡命名空間來配置隔離的網絡環境。
創建和刪除網絡命名空間
最基本的兩個操作就是創建和刪除命名空間。
- 使用 ip netns add 命令創建一個新的網絡命名空間：
ip netns add ns1
- 刪除一個不再使用的命名空間：
ip netns delete ns1
每個新創建的命名空間默認只有一個本地回環接口（lo），但這個接口是down狀態，你需要手動啟用它：
ip netns exec ns1 ip link set lo up
命名空間的名字必須是唯一的，并且不能包含特殊字符。建議用有意義的名稱，比如對應的服務名或用途。
配置命名空間中的網絡連接
創建好命名空間之后，下一步通常是讓它能與其他網絡通信。常用方式是通過veth pair（虛擬以太網設備對）將命名空間連接到主機或其他命名空間。
步驟如下：
-
創建一對veth設備：
ip link add veth0 type veth peer name veth1
-
把其中一端放到命名空間里：
ip link set veth1 netns ns1
-
給兩端分別配置IP地址并啟用：
ip addr add 192.168.1.1/24 dev veth0 ip link set veth0 up ip netns exec ns1 ip addr add 192.168.1.2/24 dev veth1 ip netns exec ns1 ip link set veth1 up
這樣，主機上的veth0和命名空間內的veth1就形成了點對點連接。你可以在這個基礎上進一步配置路由、NAT或者橋接。
需要注意的是：veth pair的兩端必須有一端留在默認命名空間（即主機）才能作為對外連接的入口。
跨命名空間通信與路由設置
如果多個命名空間之間需要互相通信，可以通過中間命名空間做路由轉發，也可以使用橋接設備統一管理。
舉個例子，假設ns1和ns2都要訪問外部網絡，可以考慮：
- 創建一個bridge設備br0，把主機側的veth接口加入進去
- 分別給ns1和ns2分配不同的子網IP
- 在主機上開啟IP轉發，并設置NAT規則：
sysctl -w net.ipv4.ip_forward=1 iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE
這種結構適合模擬多租戶網絡或者搭建輕量級虛擬化測試環境。不過要注意防火墻規則和路由表的正確性，否則會出現“通不了”的問題。
另外，你可以在每個命名空間里運行不同的服務監聽不同端口，配合iptables還能做更細粒度的控制。
實際使用中的一些小技巧
-
查看所有命名空間列表：
ip netns list
-
執行命令時記得加 ip netns exec [namespace]，否則命令會作用在主機默認網絡空間。
-
如果希望某個命名空間開機自動啟動并配置好網絡，可以把相關命令寫進 /etc/network/interfaces 或者systemd服務文件中。
-
使用 nsenter 工具可以從進程進入其所在的命名空間，方便調試。
基本上就這些。網絡命名空間雖然功能強大，但操作起來并不復雜，關鍵是理解veth pair和路由的關系。只要把基礎拓撲搞清楚了，后面擴展起來就容易多了。
