网络命名空间（同一个进程能同时运行在两个网络命名空间吗）

本文目录

• 同一个进程能同时运行在两个网络命名空间吗
• 网络命名空间ip netns
• 如何在Linux上一次删除所有网络命名空间
• 容器防火墙原理
• 网卡虚拟化 Ipvlan
• 计算机开发中的命名空间是什么呢
• docker容器网络
• k8s 网络基础

同一个进程能同时运行在两个网络命名空间吗

using System.Web.UI.WebControls; 在cs页面控件代码上右键转到定义或F12,然后可以看到你感兴趣的东西,如果还感兴趣 就继续F12转到定义.

网络命名空间ip netns

namespace和cgroup是软件容器化趋势中的两个主要内核技术。简单来说，cgroup是一种对进程进行统一的资源监控和限制，控制着使用多少系统资源（CPU，内存等）。而namespace是对全局系统资源的一种封装隔离，它通过Linux内核对系统资源进行隔离和虚拟化的特性。Linux内核2.4仅实现了mount namespace，从内核 2.6开始实现了，在内核 3.8 中才宣布完成6种类型的命名空间：Process ID  (pid)、Mount (mnt)、Network (net)、InterProcess Communication (ipc)、UTS、User ID (user)。随着Linux自身的发展以及容器技术持续发展带来的需求，会支持有新的namespace，比如在内核 4.6 中添加了Cgroup namespace。 Linux提供多个API用来操作namespace，分别是clone()、setns() 和unshare() 函数，为了确定隔离的namespace，在使用这些 API 时，通常要指定调用参数：CLONE_NEWIPC 、CLONE_NEWNET、CLONE_NEWNS、CLONE_NEWPID、CLONE_NEWUSER、CLONE_NEWUTS和CLONE_NEWCGROUP。从Linux 3.8的内核开始，/proc//ns 目录下会包含进程所属的 namespace 信息。 pid命名空间会使得进程只能看到同一pid命名空间中的进程。mnt命名空间，可以将进程附加到自己的文件系统(如chroot)。本文只关注网络命名空间 Network (net)。 网络命名空间为命名空间内的所有进程提供了全新隔离的网络协议栈。这包括网络接口，路由表和iptables规则。通过使用网络命名空间可以实现网络虚拟环境，实现彼此之间的网络隔离，这对于云计算中租户网络隔离非常重要，Docker中的网络隔离也是基于此实现的。 备注：ip命令要以root用户身份运行。 1.新增一个网络命名空间(名称netns0)# ip netns add netns0 从系统的角度来看，当通过clone()系统调用创建一个新进程时，传递CLONE_NEWNET标志，在新进程中创建一个全新的网络命名空间。从用户的角度来看，使用ip命令创建一个新的名为netns0的持久网络命名空间。创建命名空间后，ip命令会在/var/run/netns目录下增加一个netns0文件。列出系统中可用的命名空间：# ip netns show 或ip netns list 2. 网络命名空间包含自己的网络资源：接口，路由表等。默认添加的网络命名空间netns0中会自动添加一个loopback(回环)接口但要手工开启回环口lo网卡 # ip netns exec netns0 ip link set lo up 查看网络lo回环口信息： # ip netns exec netns0 ip a # ip netns exec netns0 ping 127.0.0.1 -c 31) 创建2个网络命名空间 # ip netns add netns0# ip netns add netns12) 模拟创建一根网线： 2.1) 先创建1对veth虚拟网络设备 # ip link add name vnet0 type veth peer name vnet1 # ip addr show 1: vnet1@vnet0: 《BROADCAST,MULTICAST, M-DOWN》 mtu 1500 qdisc noop state DOWN group default qlen 1000 link/ether 52:42:c3:02:54:38 brd ff:ff:ff:ff:ff:ff 2: vnet0@vnet1: 《BROADCAST,MULTICAST, M-DOWN》 mtu 1500 qdisc noop state DOWN group default qlen 1000 link/ether a6:20:57:dc:c6:dd brd ff:ff:ff:ff:ff:ff 注意：这两个虚拟网络设备都属于“default” 或“global”命名空间，和物理网卡一样。2.2) 把veth0设置到netns0命名空间，把veth1设置到netns1命名空间： # ip link set vnet0 netns netns0 # ip link set vnet1 netns netns1 2.3) 给两个主机分别配置ip(进入命名空间启动网卡然后给网卡配置ip)，然后互ping # ip netns exec netns0 ip link set vnet0 up # ip netns exec netns1 ip link set vnet1 up # ip netns exec netns0 ip a add 192.168.0.2 dev vnet0 # ip netns exec netns1 ip a add 192.168.0.3 dev vnet1 # ip netns exec netns0 ping 192.168.0.3 connect: 网络不可达 2.4) 添加路由(互相配置对端ip为网关，为什么?) # ip netns exec netns0 ip route add 192.168.0.3 dev vnet0 # ip netns exec netns1 ip route add 192.168.0.2 dev vnet1 在netns0中去ping netns1主机 # ip netns exec netns0 ping 192.168.0.3 -c 2 PING 192.168.0.3 (192.168.0.3) 56(84) bytes of data. 64 bytes from 192.168.0.3: icmp_seq=1 ttl=64 time=0.021 ms 64 bytes from 192.168.0.3: icmp_seq=2 ttl=64 time=0.047 ms --- 192.168.0.3 ping statistics --- 以上仅限于同一主机上网络可达，但不同主机上的网络不通。 3) 在主机上配置ip转发，并且在 iptables 设置伪装。 ip转发指：当Linux主机存在多个网卡的时候，允许一个网卡的数据包转发到另外一张网卡。 iptables的介绍，请点我点我哦 。3.1) 开启ip转发 echo 1 》 /proc/sys/net/ipv4/ip_forward 3.2) 刷新forward规则 iptables -F FORWARD iptables -t nat -F 3.3) 刷新nat规则 iptables -t nat -L -n 3.4) 告诉iptables伪装起来 iptables -t nat -A POSTROUTING -s  192.168.0.3/255.255.255.0 -o eth0 -j  MASQUERADE # eth0连接外网 3.5) 允许veth0和eth0之间的转发 iptables -A FORWARD -i eth0 -o veth0 -j  ACCEPT iptables -A FORWARD -o eth0 -i veth0 -j  ACCEPT ***隐藏网址******隐藏网址******隐藏网址******隐藏网址*** ***隐藏网址******隐藏网址***

如何在Linux上一次删除所有网络命名空间

在Linux中，引入“命名空间”的概念是为了在不同的进程组之间隔离系统资源。作为六种不同类型的Linux命名空间之一，网络命名空间在逻辑上隔离与不同进程组之间的网络（例如，网络设备，IP地址，路由表）相关联的系统资源，从而为每个进程组提供主机网络堆栈的不同视图。此功能通常用于操作系统级虚拟化。 可以通过ip命令创建和删除Linux网络命名空间，如下所示。                     $ sudo ip netns add                    ’ $ sudo ip netns del假设您要清理Linux系统上的所有现有命名空间。当然你可以用上面的ip命令逐个删除每个命名空间，但这可能很麻烦。以下是从命令行中删除所有网络命名空间的方法方法一 该IP命令来自iproute2的包。最新的iproute2包允许ip命令为所有对象执行指定的操作（例如，对于所有现有的命名空间）。为此，它提供“-all”选项例如，在Ubuntu 15.10或Fedora 23上，ip命令可以使用“-all”选项一次删除所有名称空间。$ sudo ip -all netns delete 但是，如果您的Linux系统没有安装兼容的iproute2软件包，您将遇到以下错误。选项“-all”未知，请尝试“ip-help”方法二 对于那些没有安装最新iproute2软件包的人，可以使用xargs和ip的组合删除所有网络名称空间，如下所示。$ ip netns | xargs -I {} sudo ip netns delete{} 基本上，您将多行命名空间列表传递给xargs，然后xargs将为每个命名空间运行ip命令。 转自 嘉为教育-rhce认证_rhce培训_linux培训_linux认证_linux考证

容器防火墙原理

防火墙的原理就是包过滤。

基于软件容器网络对NAT的依赖以及NAT自身的局限性，网络工程师在其基础设施内部署容器时面临一些显著的挑战，但通过了解容器主机如何支持NAT模式可帮助我们避免这些问题。

操作

 语音基于软件容器网络对NAT的依赖以及NAT自身的局限性，网络工程师在其基础设施内部署容器时面临一些显著的挑战，但通过了解容器主机如何支持NAT模式可帮助我们避免这些问题。

首先，让我们看看主机如何创建新的网络命名空间（这在概念上类似于MPLS/VPN模型中的虚拟路由和转发实例）以及被称为虚拟以太网（vEth）的特殊网络接口。vEth接口是用于连接命名空间的一对端点，主机将vEth的一端放在默认命名空间用于与外部世界通信，另一端放在新创建的命名空间。

默认命名空间中的vEth被绑定到桥接，例如Docker中的docker0以及LXC中的lxcbr0。主机使用Linux中的iptables来配置NAT以及轻量级动态主机配置协议（DHCP）服务器来分配地址，例如dnsmasq。

网卡虚拟化 Ipvlan

添加网络命名空间net1和net2 添加link ipv1和 ipv2，类型为ipvlan，mode为L2 将ipv1加入到net1，ipv2加入到net2 给接口添加ip 使能接口 测试各个ip的联通性 L2模式下， 各个ipvlan之间是通的，与外部IP是通的，与物理网卡之间不通。 添加网络命名空间net3和net4 添加ipvlan接口ipv3、ipv4、ipv5，type为ipvlan，mode为L3 为Ipvlan接口配置地址，并up 在各个命名空间添加路由，下一跳为ipvlan网卡 default命名空间可以ping通3个新加的ipvlan ip 如果外部需要访问ipvlan的ip，则需要配置路由 与L3基本相似，只是可以提供更好的网络控制

计算机开发中的命名空间是什么呢

命名空间包就是由多部分构成的，每个部分为父包增加一个子包。1.命名空间包是由多个 部分 构成的，每个部分为父包增加一个子包。 各个部分可能处于文件系统的不同位置。 部分也可能处于 zip 文件中、网络上，或者 Python 在导入期间可以搜索的其他地方。 命名空间包并不一定会直接对应到文件系统中的对象；它们有可能是无实体表示的虚拟模块。2.命名空间包的 __path__ 属性不使用普通的列表。 而是使用定制的可迭代类型，如果其父包的路径 (或者最高层级包的 sys.path) 发生改变，这种对象会在该包内的下一次导入尝试时自动执行新的对包部分的搜索。3.命名空间包没有 parent/__init__.py 文件。 实际上，在导入搜索期间可能找到多个 parent 目录，每个都由不同的部分所提供。 因此 parent/one 的物理位置不一定与 parent/two 相邻。 在这种情况下，Python 将为顶级的 parent 包创建一个命名空间包，无论是它本身还是它的某个子包被导入。4.命名空间包的 __path__ 属性不使用普通的列表。 而是使用定制的可迭代类型，如果其父包的路径 (或者最高层级包的 sys.path) 发生改变，这种对象会在该包内的下一次导入尝试时自动执行新的对包部分的搜索。

5.导入就是另外一个地方的代码引用到当前代码域中来，供我们使用，很多单独且公共的我们需要把它封装起来形成包，让代码看上去更加整洁。import 语句结合了两个操作；它先搜索指定名称的模块，然后将搜索结果绑定到当前作用域中的名称。 import 语句的搜索操作定义为对 __import__() 函数的调用并带有适当的参数。 __import__() 的返回值会被用于执行 import 语句的名称绑定操作。 请参阅 import 语句了解名称绑定操作的更多细节。6.对 __import__() 的直接调用将仅执行模块搜索以及在找到时的模块创建操作。 不过也可能产生某些副作用，例如导入父包和更新各种缓存 (包括 sys.modules)，只有 import 语句会执行名称绑定操作。7.当 import 语句被执行时，标准的内置 __import__() 函数会被调用。 其他发起调用导入系统的机制 (例如 importlib.import_module()) 可能会选择绕过 __import__() 并使用它们自己的解决方案来实现导入机制。8.当一个模块首次被导入时，Python 会搜索该模块，如果找到就创建一个 module 对象 1 并初始化它。 如果指定名称的模块未找到，则会引发 ModuleNotFoundError。 当发起调用导入机制时，Python 会实现多种策略来搜索指定名称的模块。 这些策略可以通过使用使用下文所描述的多种钩子来加以修改和扩展。

docker容器网络

利用Net Namespace可以为Docker容器创建隔离的网络环境，容器具有完全独立的网络栈，与宿主机隔离。也可以使Docker容器共享主机或者其他容器的网络命名空间，基本可以满足开发者在各种场景下的需要。Docker支持 4种网络模式 ：1）host模式，--net=host指定，不支持多主机。 2）container模式，--net = container : name_or_id指定，不支持多主机。 3）none模式，--net=none指定，不支持多主机。 4）bridge模式，--net=bridge指定，默认设置，不支持多主机。 启动容器的时候使用Host模式，那么该容器与宿主机共用一个Network Namespace，因此容器将不会虚拟自己的网卡、配置自己的IP等，而是使用宿主机的IP和端口。 采用Host模式的容器，可以直接使用宿主机的IP地址与外界进行通信，无需额外进行NAT转换。由于容器通信时，不再需要通过Linux Bridge等方式转发或者数据包的拆封，性能上有很大优势。当然， Host模式有利也有弊 ，主要包括以下缺点： 1）容器没有隔离、独立的网络栈。容器因与宿主机共用网络栈而争抢网络资源，并且容器崩溃也可能导致宿主机崩溃，这在生产环境中是不允许发生的。 2）容器不再拥有所有的端口资源，因为一些端口已经被宿主机服务、Bridge模式的容器端口绑定等其他服务占用了。 需要补充说明的是，Host模式下的容器仅仅是网络命名空间与主机相同，但容器的文件系统、进程列表等还是和与宿主机隔离的。Container模式是一种特殊的网络模式。该模式下的容器使用其他容器的网络命名空间，网络隔离性会处于Bridge模式与Host模式之间。当容器与其他容器共享网络命名空间时，这两个容器间不存在网络隔离，但它们与宿主机及其他容器又存在网络隔离。 在Kubernetes体系架构下引入Pod概念，Kubernetes为Pod创建一个基础设施容器， 同一Pod下的其他容器都以Container模式 共享这个基础设施容器的网络命名空间，相互之间以localhost访问，构成一个统一的整体。与前两种不同，None模式的Docker容器拥有自己的Network Namespace，但并不为Docker容器进行网络配置。该Docker容器没有网卡、IP、路由等信息。需要用户为Docker容器添加网卡、配置IP等。 Bridge模式是Docker默认的网络模式，也是开发者最常使用的网络模式。在这种模式下，Docker为容器创建独立的网络栈，保证容器内的进程使用独立的网络环境，实现容器之间、容器与宿主机之间的网络栈隔离。同时，通过宿主机上的Docker0网桥，容器可以与宿主机乃至外界进行网络通信。 同一宿主机上，容器之间都是连接在Docker0这个网桥上，Docker0作为虚拟交换机使容器间相互通信 。但是， 由于宿主机的IP地址与容器veth pair的IP地址均不在同一个网段 ，故仅仅依靠 veth pair和NameSpace的技术 并不足以使宿主机以外的网络主动发现容器的存在。Docker采用了 端口绑定的方式(通过iptables的NAT) ，将宿主机上的端口流量转发到容器内的端口上，这样一来，外界就可以与容器中的进程进行通信。 iptables的介绍，请点我点我 。创建容器，并将宿主机的3306端口绑定到容器的3306端口：docker run -tid --name db -p 3306:3306 mysql 在宿主机上，可以通过“iptables -t nat -L -n”，查到一条DNAT规则：DNAT tcp --0.0.0.0/0 0.0.0.0/0 tcp dpt:3306 to:172.17.0.5:3306 Bridge模式的容器与外界通信时，必定会占用宿主机上的端口，从而与宿主机竞争端口资源，这会造成对宿主机端口管理很复杂。同时，由于容器与外界通信是基于三层上iptables NAT，性能和效率损耗是显而易见的。NAT将地址空间分段的做法引入了额外的复杂度。比如容器中应用所见的IP并不是对外暴露的IP， 因为网络隔离，容器中的应用实际上只能检测到容器的IP，但是需要对外宣称的则是宿主机的IP，这种信息的不对称将带来诸如破坏自注册机制等问题 。摘抄自陆平的《基于Kubernetes的容器云平台实战》一书的第10章Kubernetes网络

k8s 网络基础

author：sufei 说明：本文主要记录在学习k8s网络方面的相关知识

 Linux在内核网络栈中引入网络命名空间，将 独立的网络协议栈隔离 到不同的命令空间中，彼此间无法通信；

1、Linux操作系统，解析和封装网络包是通过一个网络协议栈完成，下层为上层服务，这个 协议栈中即包括如软件也包括硬件网络设 备。网络命名空间就是以软件方式隔离出单独的网络栈信息；

2、不同network namespace的软硬件资源相互不可见，好像处在物理隔离的不同物理机上一样，彼此隔离；

3、不同的网络命名空间会有自己独立的网卡、路由表、ARP 表、iptables 等和网络相关的资源

4、实验：可以借助 ip netns 命令来完成对 Network Namespace 的各种操作，如：

问题 ：什么是转移设备？

 可以在不同的 Network Namespace 之间转移设备（如veth）。由于一个设备只能属于一个 Network Namespace ，所以转移后在这个 Network Namespace 内就看不到这个设备了。 veth设备属于可转移设备 ，而很多其它设备（如lo、bridge等）是不可以转移的。

 veth pair 全称是 Virtual Ethernet Pair，是一个成对的端口，所有从这对端口一 端进入的数据包都将从另一端出来，反之也是一样。而veth pair就是为了在不同的 Network Namespace 直接进行通信，利用它可以直接将两个 Network Namespace 连接起来。

实验

 veth pair打破了 Network Namespace 的限制，实现了不同 Network Namespace 之间的通信。但veth pair有一个明显的缺陷，就是只能实现两个网络接口之间的通信。如果我们想实现多个网络接口之间的通信，就可以使用下面介绍的网桥（Bridge）技术（ 类似于物理交换机 ）。  简单来说，网桥就是把一台机器上的若干个网络接口“连接”起来。其结果是，其中一个网口收到的报文会被复制给其他网口并发送出去。以使得网口之间的报文能够互相转发。

 网桥是一个二层网络设备，通过网桥可以将linux支持的不同的端口连接起来,并实现类似交换机那样的多对多的通信。

实验：

 Netfilter负责在内核中执行各种挂接的规则(过滤、修改、丢弃等)，运行在内核 模式中；Iptables模式是在用户模式下运行的进程，负责协助维护内核中Netfilter的各种规则表；通过二者的配合来实现整个Linux网络协议栈中灵活的数据包处理机制。

 iptables/netfilter(简称iptables)组成了Linux平台下的包过滤防火墙，可以完成封包过滤、封包重定向和网络地址转换（NAT）等功能。这部分主要了解两部分知识：

 应用层不管是要发送还是接收网络消息，都需要通过linux内核提供的一系列关卡。每个”关卡“担负着不同的工作。这里的”关卡“被称为”链“。如下图：

 Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关(如上面的172.17.0.1)。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP直接通信。

 Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法通过直接Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机（端口映射），即docker run创建容器时候通过 -p 或 -P 参数来启用，访问容器的时候就通过访问容器。

 下面具体来说说docker容器的几种网络模式，以便后续学习k8s网络。

 在host模式下（ –net=host），容器不会去建立新的网络命名空间，而直接使用宿主机的网络设备以及网络协议栈。这样自然不会虚拟出自己的网卡，配置自己的IP等。其特点如下：

 这个模式就是在创建容器时，指定网络（–net=container:NAME_or_ID）与之前容器在同一个网络命名空间中，而不是和宿主机共享（这也就是k8s中pod内各容器的一种网络模式）。下面说明几点：

 none模式(–net=none)Docker容器拥有自己的Network Namespace，但是，并不为Docker容器进行任何网络配置。也就是说，这个Docker容器没有网卡、IP、路由等信息。需要我们自己为Docker容器添加网卡、配置IP等。

 bridge模式是docker容器的默认模式，当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器在bridge模式下会连接到这个虚拟网桥上，并由网桥自动分配ip。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

 下面说明这个模式下的工作方式：

 首先我们来看看k8s想要一个什么样的网络，也就是k8s网络设计的要求，具体如下：

 下面简单从几中不同的通信要求来看看k8s网络实现。

 在 Kubernetes 的世界里，IP 是以 Pod 为单位进行分配的。一个 Pod 内部的所有容器共享一个网络堆栈。实际上就是docker container网络模式。可以直接通过本地localhost进行网络访问。这个模式在mysql容器化中就是agent容器与mysql容器的网络通信方式。

 Pod1和Pod2都是通信veth pair连接到同一个docker0网桥上，它们的IP地址都是从docker0网段上动态获取的，它们和网桥本身的IP是同一个网段的。可以通过docker0作为交换机进行通信，也就是采用的docker bridge网络模式进行通信。

 由于在同一个网桥docker0上即可以保证分配的pod IP不会冲突，且可以相互通信，而如果需要跨Node物理节点，则无法通过docker网络直接满足要求了，那这些要求具体有哪些呢？

解决方案

方法一：k8s中通过在etcd中记录正在运行中pod的IP分配信息，这样我们就可以满足Pod IP与Node IP之间映射关系的记录；

方法二：可以在etcd中规划配置好所有主机docker0网桥的子网范围，从而满足Pod IP不冲突的要求；如：

方法三：要实现Pod跨Node通信，以k8s默认网络Flannel为例，就是采用overlay（覆盖网络）实现。具体下面说明：

问题：什么是覆盖网络？

覆盖网络就是应用层网络，是指建立在另一个网络上的网络。怎么理解呢？简单理解就是将TCP数据包装在另一种网络包里面进行路由转发和通信，另一种网络包目前可以是UDP、VxLAN、AWS VPC和GCE路由等数据转发方式。默认以UDP为例来说明flannel工作方式。

下面看看具体实现

问题 ：为保证各node内docker容器分配的ip地址不冲突，每个节点上的Docker会使用不同的IP地址段？如何实现的呢？

问题 ：为什么在发送节点上的数据会从docker0路由到flannel0虚拟网卡，在目的节点会从flannel0路由到docker0虚拟网卡？