linux网络命名空间通过veth pair实现隔离与通信，管理步骤如下：1. 使用ip netns add/delete创建/删除命名空间；2. 用ip link set启用默认lo接口；3. 创建veth pair并分配到命名空间；4. 分别配置两端ip并启用；5. 主机侧开启ip转发和nat以实现跨命名空间通信；6. 可结合桥接设备统一管理多个命名空间路由；7. 利用ip netns exec执行命名空间内命令，通过nsenter调试进程所在命名空间。
linux的网络命名空间（Network Namespace）是实现网络隔离的重要机制，尤其在容器技术中应用广泛。如果你需要为不同应用或服务创建独立的网络环境，网络命名空间是一个非常实用的工具。
下面从几个常见使用场景出发，讲讲怎么管理Linux网络命名空间来配置隔离的网络环境。
创建和删除网络命名空间
最基本的两个操作就是创建和删除命名空间。
- 使用 ip netns add 命令创建一个新的网络命名空间：
ip netns add ns1
- 删除一个不再使用的命名空间：
ip netns delete ns1
每个新创建的命名空间默认只有一个本地回环接口（lo），但这个接口是down状态，你需要手动启用它：
ip netns exec ns1 ip link set lo up
命名空间的名字必须是唯一的，并且不能包含特殊字符。建议用有意义的名称，比如对应的服务名或用途。
配置命名空间中的网络连接
创建好命名空间之后，下一步通常是让它能与其他网络通信。常用方式是通过veth pair（虚拟以太网设备对）将命名空间连接到主机或其他命名空间。
步骤如下：
-
创建一对veth设备：
ip link add veth0 type veth peer name veth1
-
把其中一端放到命名空间里：
ip link set veth1 netns ns1
-
给两端分别配置IP地址并启用：
ip addr add 192.168.1.1/24 dev veth0 ip link set veth0 up ip netns exec ns1 ip addr add 192.168.1.2/24 dev veth1 ip netns exec ns1 ip link set veth1 up
这样，主机上的veth0和命名空间内的veth1就形成了点对点连接。你可以在这个基础上进一步配置路由、NAT或者桥接。
需要注意的是：veth pair的两端必须有一端留在默认命名空间（即主机）才能作为对外连接的入口。
跨命名空间通信与路由设置
如果多个命名空间之间需要互相通信，可以通过中间命名空间做路由转发，也可以使用桥接设备统一管理。
举个例子，假设ns1和ns2都要访问外部网络，可以考虑：
- 创建一个bridge设备br0，把主机侧的veth接口加入进去
- 分别给ns1和ns2分配不同的子网IP
- 在主机上开启IP转发，并设置NAT规则：
sysctl -w net.ipv4.ip_forward=1 iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE
这种结构适合模拟多租户网络或者搭建轻量级虚拟化测试环境。不过要注意防火墙规则和路由表的正确性，否则会出现“通不了”的问题。
另外，你可以在每个命名空间里运行不同的服务监听不同端口，配合iptables还能做更细粒度的控制。
实际使用中的一些小技巧
-
查看所有命名空间列表：
ip netns list
-
执行命令时记得加 ip netns exec [namespace]，否则命令会作用在主机默认网络空间。
-
如果希望某个命名空间开机自动启动并配置好网络，可以把相关命令写进 /etc/network/interfaces 或者systemd服务文件中。
-
使用 nsenter 工具可以从进程进入其所在的命名空间，方便调试。
基本上就这些。网络命名空间虽然功能强大，但操作起来并不复杂，关键是理解veth pair和路由的关系。只要把基础拓扑搞清楚了，后面扩展起来就容易多了。
