简介

下面是酷壳给出的关于Linux Namespaces的介绍：

Linux Namespace是Linux提供的一种内核级别环境隔离的方法。不知道你是否还记得很早以前的Unix有一个叫chroot的系统调用（通过修改根目录把用户jail到一个特定目录下），chroot提供了一种简单的隔离模式：chroot内部的文件系统无法访问外部的内容。Linux Namespace在此基础上，提供了对UTS、IPC、mount、PID、network、User等的隔离机制。

当前Linux一共实现了6种不同类型的Namespace

Namespace类型 系统调用参数 内核版本 隔离内容
Mount Namespace CLONE_NEWNS 2.4.19 挂载点（文件系统）
UTS Namespace CLONE_NEWUTS 2.6.19 主机名与域名
IPC Namespacce CLONE_NEWIPC 2.6.19 信号量、消息队列和共享内存
PID Namespace CLONE_NEWPID 2.6.24 进程编号
Network Namespace CLONE_NEWNET 2.6.29 网络设备、网络栈、端口等等
User Namespace CLONE_NEWUSER 3.8 用户和用户组

Namespace的API主要使用如下3个系统调用：

  • clone(): 创建新进程。
  • unshare(): 将进程移出某个Namespace。
  • setns(): 将进程加入到Namespace中。

体验

UTS Namespace

UTS Namespace用于隔离nodename和domainname两个系统标识，即在不同的Namespace中允许拥有各自的hostname。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

// 在GOPATH下新建一个名为mydocker的目录，并在该目录下新建文件main.go。

package main

import (
	"fmt"
	"os"
	"os/exec"
	"syscall"
)

func main() {
	cmd := exec.Command("bash")
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Cloneflags: syscall.CLONE_NEWUTS,
	}
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.Stderr = os.Stderr
	cmd.Env = append(cmd.Env, `PS1=\[\e[32;1m\][\u@\h \W]$>\[\e[0m\]`)

	if err := cmd.Run(); err != nil {
		fmt.Fprintln(os.Stderr, err)
		os.Exit(1)
	}
}

以上代码通过exec.Command(“bash”)方式fork了一个bash子进程，并且使用了CLONE_NEWUTS标识符去创建了一个Namespace。下面验证下bash子进程与mydocker父进程是否处于不同的的UTS Namespace中。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

// 查看最初的系统hostname
$ hostname
ubuntu14.04

// 以root身份运行mydocker程序
$ sudo ./mydocker

// 在隔离的UTS Namespace下修改hostname为hello
root@ubuntu14:/home/voidint# hostname -b hello
root@ubuntu14:/home/voidint# hostname
hello

// 退出bash子进程并查看hostname是否发生变化
root@ubuntu14:/home/voidint# exit
exit

// 可以看到hostname并未发生变化
$ hostname
ubuntu14.04

PID Namespace

PID Namespace用于隔离进程ID，同一个进程在不同的PID Namespace中可以拥有不同的PID。以docker容器为例，每个容器对于宿主机而言都是一个进程，若在容器内部查看到该进程的PID为1，但在宿主机上查看到的PID并非为1，这就是由于容器内拥有独立的PID Namespace的缘故。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

package main

import (
	"fmt"
	"os"
	"os/exec"
	"syscall"
)

func main() {
	cmd := exec.Command("bash")
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Cloneflags: syscall.CLONE_NEWUTS | syscall.CLONE_NEWIPC | syscall.CLONE_NEWPID,
	}
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.Stderr = os.Stderr
	cmd.Env = append(cmd.Env, `PS1=\[\e[32;1m\][\u@\h \W]$>\[\e[0m\]`)

	if err := cmd.Run(); err != nil {
		fmt.Fprintln(os.Stderr, err)
		os.Exit(1)
	}
}

编译并运行以上程序，查看当前Namespace的PID，PID为1。

1
2

$ echo $$
1

在宿主机上新开一个shell，并通过pstree -pl查看mydocker的PID为2692。注意，这里不能使用ps命令去查看，因为ps、top之类的命令会读取/proc目录下内容，由于此处并未进行Mount Namespace的隔离，查看到的/proc目录下内容并不真实和准确。

Mount Namespace

Mount Namespace用来隔离各个进程看到的挂载点视图。在Mount Namespace中调用mount()或者umount()都仅仅只是影响当前Namespace内的文件系统，对于全局的文件系统并没有影响。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

package main

import (
	"fmt"
	"os"
	"os/exec"
	"syscall"
)

func main() {
	cmd := exec.Command("bash")
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Cloneflags: syscall.CLONE_NEWUTS |
			syscall.CLONE_NEWIPC |
			syscall.CLONE_NEWPID |
			syscall.CLONE_NEWNS,
	}
	cmd.Stdin = os.Stdin
	cmd.Stdout = os.Stdout
	cmd.Stderr = os.Stderr
	cmd.Env = append(cmd.Env, `PS1=\[\e[32;1m\][\u@\h \W]$>\[\e[0m\]`)

	if err := cmd.Run(); err != nil {
		fmt.Fprintln(os.Stderr, err)
		os.Exit(1)
	}
}

运行以上程序，在启动的bash子进程中执行ps -ef，依然可以看到宿主机上的所有进程，这是由于proc文件系统是继承自宿主机。下面重新挂载proc文件系统，并再次查看ps -ef的输出。

1
2
3
4
5
6

$ mount -t proc proc /proc

$ ps -ef
UID        PID  PPID  C STIME TTY          TIME CMD
root         1     0  0 18:11 pts/1    00:00:00 bash
root        14     1  0 18:16 pts/1    00:00:00 ps -ef

可以看到，重新挂载proc文件系统后，ps命令仅能看到容器内的进程了，符合预期。

参考