【从零造容器】Network Namespace：给你的进程接上虚拟网线
💡
原文中文，约11900字，阅读约需29分钟。
📝
内容提要
本文介绍了如何在Linux中创建容器网络，使用CLONE_NEWNET和veth设备实现网络隔离。首先创建新的网络命名空间，默认只有loopback接口。然后通过veth对连接宿主机和容器，配置桥接和NAT，使容器能够访问互联网。最后讨论了Docker的网络架构及其性能问题，强调了容器网络的复杂性和潜在性能开销。
🎯
关键要点
- 使用 CLONE_NEWNET 创建新的网络命名空间，初始状态只有一个 DOWN 的 loopback 接口。
- veth 设备用于连接宿主机和容器，形成虚拟网线，允许数据包在两端传递。
- 通过创建桥接（bridge）和配置 NAT，使容器能够访问互联网。
- Docker 的网络架构基于 veth 和 bridge，使用 MASQUERADE 进行地址转换。
- iptables 和 nftables 在容器网络中扮演重要角色，nftables 是未来的趋势。
- 非 root 用户无法直接使用 CLONE_NEWNET，需通过 User Namespace 实现安全隔离。
- 容器网络的性能开销主要来自多次协议栈遍历和 netfilter 处理。
- 总结了从零搭建容器网络的完整流程，包括网络隔离和连通性。
❓
延伸问答
如何在Linux中创建新的网络命名空间？
使用CLONE_NEWNET标志来创建新的网络命名空间，初始状态下只有一个DOWN的loopback接口。
veth设备在容器网络中有什么作用？
veth设备用于连接宿主机和容器，形成虚拟网线，允许数据包在两端传递。
如何让容器访问互联网？
通过创建桥接和配置NAT，使容器能够通过宿主机的IP访问互联网。
Docker的网络架构是如何设计的？
Docker的网络架构基于veth和bridge，使用MASQUERADE进行地址转换，允许容器与外部网络通信。
为什么非root用户无法直接使用CLONE_NEWNET？
因为CLONE_NEWNET需要CAP_SYS_ADMIN权限，防止普通用户绕过基于UID的网络策略，造成安全漏洞。
容器网络的性能开销主要来自哪里？
性能开销主要来自多次协议栈遍历和netfilter处理，这在高吞吐场景下不可忽视。
➡️
