linux通过命名空间实现进程环境隔离，是容器技术的基础；1. 主要命名空间类型包括mount、uts、ipc、pid、network、user和cgroup，可组合使用实现多维度隔离；2. 使用unshare命令可创建新的命名空间，如unshare –uts –mount –fork后修改hostname仅在当前命名空间生效；3. 通过clone()系统调用可在程序中精确控制命名空间创建，如c语言中使用clone_newuts和clone_newpid标志并执行bash；4. nsenter工具允许进入已有命名空间进行调试，如nsenter -t 1234 -n -m ip addr在目标进程的网络和挂载命名空间中执行命令；5. 组合多个命名空间可模拟容器环境，sudo unshare –mount –uts –ipc –pid –net –user –map-root-user –fork bash可创建接近完整隔离的环境；6. 注意事项包括需要cap_sys_admin权限或启用kernel.unprivileged_userns_clone、需配合chroot或bind mount实现文件系统隔离、pid命名空间中需处理孤儿进程、网络命名空间需通过veth pair等配置连通性。
在 linux 系统中，Namespace（命名空间） 是实现进程环境隔离的核心机制之一，也是容器技术（如 docker、LXC）的基础。通过命名空间，可以为不同的进程组创建独立的视图，使它们彼此看不到对方的资源，从而实现“隔离”。
下面介绍如何使用命名空间来隔离进程环境。
一、Linux 命名空间的类型
Linux 提供了以下几种主要的命名空间：
- Mount (mnt)：隔离文件系统挂载点。
- UTS：隔离主机名和域名。
- IPC：隔离进程间通信（如消息队列、信号量、共享内存）。
- PID：隔离进程 ID 空间，每个命名空间内可以有独立的 PID 1。
- Network (net)：隔离网络接口、IP 地址、路由表、端口等。
- User：隔离用户和用户组 ID，实现权限隔离。
- Cgroup：控制 cgroup 层次结构的视图（较新）。
每种命名空间都可以单独启用，组合使用即可构建一个接近完整隔离的“容器”。
二、使用
unshare
unshare
命令创建命名空间
unshare
是一个用户态工具，允许你运行一个新进程，并为其创建指定的命名空间。
示例：创建独立的 UTS 和 Mount 命名空间
unshare --uts --mount --fork
执行后你会进入一个 shell，这个 shell 运行在一个新的 UTS 和 Mount 命名空间中。
你可以尝试修改主机名：
hostname mycontainer
然后打开另一个终端，运行
hostname
，你会发现原系统的主机名没有变化 —— 因为修改只在新的命名空间中生效。
注意：使用 –fork 是为了让 unshare 先 fork 子进程再进入命名空间，否则无法获得交互式 shell。
三、使用
clone
clone
系统调用编程创建命名空间
如果你需要更精细控制，可以用 C 或 python 编写程序，调用
clone()
系统调用并传入命名空间标志。
示例（C 语言片段）：
#define _GNU_SOURCE #include <sched.h> #include <sys/wait.h> #include <unistd.h> #include <stdio.h> #include <stdlib.h> int child_func(void *arg) { printf("Inside container, PID: %dn", getpid()); sethostname("mycontainer", 10); execv("/bin/bash", (char *[]){"bash", NULL}); return 1; } int main() { char stack[10240]; // 创建 UTS 和 PID 命名空间 pid_t pid = clone(child_func, stack + 10240, CLONE_NEWUTS | CLONE_NEWPID | SIGCHLD, NULL); if (pid == -1) { perror("clone"); exit(1); } waitpid(pid, NULL, 0); // 等待子进程结束 return 0; }
编译运行：
gcc -o container container.c sudo ./container
你会发现进入了新命名空间的 bash，且
ps
看到的 PID 可能从 1 开始。
四、使用
nsenter
nsenter
进入已有命名空间
有时候你想调试某个命名空间内的环境，可以用
nsenter
。
假设你有一个进程 PID 为 1234，想进入它的网络和 mount 命名空间：
nsenter -t 1234 -n -m ip addr
这会执行
ip addr
命令，但处于该进程的网络命名空间中。
常见选项：
-
-t PID
：目标进程 ID
-
-m
：进入 mount 命名空间
-
-u
：UTS
-
-i
：IPC
-
-n
：network
-
-p
：PID
-
-u
：user
五、组合多个命名空间实现完整隔离（简易容器）
要模拟一个“容器”，通常需要组合多个命名空间：
sudo unshare --mount --uts --ipc --pid --net --user --map-root-user --fork bash
说明：
-
--map-root-user
：将当前用户映射为命名空间内的 root（需要 user namespace 支持）
- 所有命名空间都启用，接近容器环境
进入后你可以：
- 修改主机名（不影响宿主机）
- 创建自己的挂载点
- 使用
ps
只看到自己命名空间中的进程
- 配置独立的网络（需进一步 setup，如 veth pair）
六、注意事项与常见问题
-
权限要求：
- 操作命名空间通常需要
CAP_SYS_ADMIN
能力，普通用户只能创建 user namespace。
- 推荐使用
sudo
或确保内核允许非特权命名空间（
kernel.unprivileged_userns_clone=1
）
- 操作命名空间通常需要
-
文件系统隔离要配合 chroot 或 bind mount： 单纯 mount namespace 不会改变根文件系统，你需要手动挂载或切换根目录。
-
PID 命名空间中的孤儿进程处理： 子 PID namespace 中的进程如果父进程退出，会被提升到该 namespace 的 PID 1，需由它回收。
-
网络命名空间需额外配置： 创建 net namespace 后，默认只有
lo
接口，需要通过 veth pair 和网桥连接外部网络。
总结
命名空间是 Linux 实现轻量级隔离的关键。通过
unshare
、
clone
、
nsenter
等工具和系统调用，你可以逐步构建出一个隔离的进程环境。虽然它不像 Docker 那样开箱即用，但理解命名空间的工作原理，有助于深入掌握容器底层机制。
基本上就这些，不复杂但容易忽略细节。
