【从零造容器】Network Namespace：给你的进程接上虚拟网线
内容提要
本文介绍了如何在Linux中创建容器网络，使用CLONE_NEWNET和veth设备实现网络隔离。首先创建新的网络命名空间，默认只有loopback接口。然后通过veth对连接宿主机和容器，配置桥接和NAT，使容器能够访问互联网。最后讨论了Docker的网络架构及其性能问题，强调了容器网络的复杂性和潜在性能开销。
关键要点
-
使用 CLONE_NEWNET 创建新的网络命名空间，初始状态只有一个 DOWN 的 loopback 接口。
-
veth 设备用于连接宿主机和容器，形成虚拟网线，允许数据包在两端传递。
-
通过创建桥接（bridge）和配置 NAT，使容器能够访问互联网。
-
Docker 的网络架构基于 veth 和 bridge，使用 MASQUERADE 进行地址转换。
-
iptables 和 nftables 在容器网络中扮演重要角色，nftables 是未来的趋势。
-
非 root 用户无法直接使用 CLONE_NEWNET，需通过 User Namespace 实现安全隔离。
-
容器网络的性能开销主要来自多次协议栈遍历和 netfilter 处理。
-
总结了从零搭建容器网络的完整流程，包括网络隔离和连通性。
延伸解读
网络命名空间的隔离特性
创建新的网络命名空间后，容器内的网络接口、路由表和iptables规则都是独立的。这种隔离确保了容器之间的网络安全性，避免了不同容器间的流量干扰。理解这一点对于设计安全的容器化应用至关重要。
性能开销的考虑
容器网络的架构虽然灵活，但每个数据包需要经过多次协议栈遍历和netfilter处理，这会导致性能开销。在高吞吐量场景下，可能需要考虑使用--net=host或macvlan等方案来优化性能。
Docker网络架构的演变
Docker的网络架构基于veth和bridge，使用MASQUERADE进行地址转换。这种设计虽然简单有效，但在多容器场景下，iptables规则的膨胀可能导致网络延迟增加，了解这一点有助于在使用Docker时进行性能调优。
用户权限与安全性
非root用户无法直接使用CLONE_NEWNET创建网络命名空间，这是出于安全考虑。通过User Namespace，普通用户可以在受限环境中创建网络命名空间，但这也限制了其网络配置的能力，理解这一点有助于开发安全的容器应用。
延伸问答
如何在Linux中创建新的网络命名空间？
使用CLONE_NEWNET标志来创建新的网络命名空间，初始状态下只有一个DOWN的loopback接口。
veth设备在容器网络中有什么作用？
veth设备用于连接宿主机和容器，形成虚拟网线，允许数据包在两端传递。
如何让容器访问互联网？
通过创建桥接和配置NAT，使容器能够通过宿主机的IP访问互联网。
Docker的网络架构是如何设计的？
Docker的网络架构基于veth和bridge，使用MASQUERADE进行地址转换，允许容器与外部网络通信。
为什么非root用户无法直接使用CLONE_NEWNET？
因为CLONE_NEWNET需要CAP_SYS_ADMIN权限，防止普通用户绕过基于UID的网络策略，造成安全漏洞。
容器网络的性能开销主要来自哪里？
性能开销主要来自多次协议栈遍历和netfilter处理，这在高吞吐场景下不可忽视。
