背景

從Linux 2.6.24版的內核開始，Linux 就支持6種不同類型的命名空間。它們的出現，使用戶創建的進程能夠與系統分離得更加徹底，從而不需要使用更多的底層虛擬化技術。

•     CLONE_NEWIPC: 進程間通信(IPC)的命名空間，可以將 SystemV 的 IPC 和 POSIX 的消息隊列獨立出來。
      CLONE_NEWPID: 進程命名空間。空間內的PID 是獨立分配的，意思就是命名空間內的虛擬 PID 可能會與命名空間外的 PID 相沖突，于是命名空間內的 PID 映射到命名空間外時會使用另外一個 PID。比如說，命名空間內第一個 PID 為1，而在命名空間外就是該 PID 已被 init 進程所使用。
      CLONE_NEWNET: 網絡命名空間，用于隔離網絡資源（/proc/net、IP 地址、網卡、路由等）。后臺進程可以運行在不同命名空間內的相同端口上，用戶還可以虛擬出一塊網卡。
      CLONE_NEWNS: 掛載命名空間，進程運行時可以將掛載點與系統分離，使用這個功能時，我們可以達到 chroot 的功能，而在安全性方面比 chroot 更高。
      CLONE_NEWUTS: UTS 命名空間，主要目的是獨立出主機名和網絡信息服務（NIS）。
      CLONE_NEWUSER: 用戶命名空間，同進程 ID 一樣，用戶 ID 和組 ID 在命名空間內外是不一樣的，并且在不同命名空間內可以存在相同的 ID。

下面我們介紹一下進程命名空間和網絡命名空間。
進程命名空間

本文用 C 語言介紹上述概念，因為演示進程命名空間的時候需要用到 C 語言。下面的測試過程在 Debian 6 和 Debian 7 上執行。首先，在棧內分配一頁內存空間，并將指針指向內存頁的末尾。這里我們使用 alloca() 函數來分配內存，不要用 malloc() 函數，它會把內存分配在堆上。

然后使用 clone() 函數創建子進程，傳入我們的子棧空間地址 "mem"，并指定命名空間的標記。同時我們還指定“callee”作為子進程運行的函數。

clone 之后我們要在父進程中等待子進程先退出，否則的話，父進程會繼續運行下去，并馬上進程結束，留下子進程變成孤兒進程：

最后當子進程退出后，我們會回到 shell 界面，并返回子進程的退出碼。

上文介紹的 callee 函數功能如下：

程序掛載了 /proc 文件系統，設置用戶 ID 和組 ID，值都為“u”，然后運行 /bin/bash 程序，LXC 是一個操作系統級的虛擬化工具，使用 cgroups 和命名空間來完成資源的分離。現在我們把所有代碼放在一起，變量“u”的值設為65534，在 Debian 系統中，這是“nobody”和“nogroup”：

執行以下命令來運行上面的代碼：

注意上面的結果，UID 和 GID 被設置成 nobody 和 nogroup 了，特別是 ps 工具只輸出兩個進程，它們的 ID 分別是1和5（LCTT注：這就是上文介紹 CLONE_NEWPID 時提到的功能，在線程所在的命名空間內，進程 ID 可以為1，映射到命名空間外是另外一個 PID；而命名空間外的 ID 為1的進程一直是 init）。
網絡命名空間

接下來輪到使用 ip netns 來設置網絡的命名空間。第一步先確定當前系統沒有命名空間：

如果報了上述錯誤，你需要更新你的系統內核，以及 ip 工具程序。這里假設你的內核版高于2.6.24，ip 工具版本也差不多，高于2.6.24（LCTT注：ip 工具由 iproute 安裝包提供，此安裝包版本與內核版本相近）。更新好后，ip netns list 在沒有命名空間存在的情況下不會輸出任務信息。加個名為“ns1”的命名空間看看：

列出網卡：

創建新的虛擬網卡，并加到命名空間。虛擬網卡需要成對創建，互相關聯——就像交叉電纜一樣：

這個時候 ifconfig -a 命令也能顯示新添加的 veth0 和 veth1 兩塊網卡。

很好，現在將這兩份塊網卡加到命名空間中去。注意一下，下面的 ip netns exec 命令用于將后面的命令在命名空間中執行（LCTT注：下面的結果顯示了在 ns1 這個網絡命名空間中，只存在 lo 和 veth1 兩塊網卡）：

這個時候 ifconfig -a 命令只能顯示 veth0，不能顯示 veth1，因為后者現在在 ns1 命名空間中。

如果想刪除 veth0/veth1，可以執行下面的命令：

我們可以為 veth0 分配 IP 地址：

在命名空間內為 veth1 分配 IP 地址：

在命名空間內外執行 ip addr list 命令：

在命名空間內外查看路由表：

最后，將虛擬網卡連到物理網卡上，我們需要用到橋接。這里做的是將 veth0 橋接到 eth0，而 ns1 命名空間內則使用 DHCP 自動獲取 IP 地址：

為網橋 br0 分配的 IP 地址為192.168.3.122/24。接下來為命名空間分配地址：

現在， veth1 的 IP 被設置成 192.168.3.248/24 了。