https://caozuohua.github.io/tags/%E7%BD%91%E7%BB%9C%E5%91%BD%E5%90%8D%E7%A9%BA%E9%97%B4/Recent content in 网络命名空间 on CAO ZUOHUAHugozh-cnMon, 14 Sep 2026 11:10:00 +0800https://caozuohua.github.io/posts/2026-09-14-linux-network-namespaces/Mon, 14 Sep 2026 11:10:00 +0800https://caozuohua.github.io/posts/2026-09-14-linux-network-namespaces/<h1 id="沙箱的屏障深入解析-linux-网络命名空间与容器隔离">沙箱的屏障：深入解析 Linux 网络命名空间与容器隔离</h1> <p>在容器化时代，网络不再只是简单的物理网卡通信，而是通过 Network Namespaces (NetNS) 构建的虚拟化网络空间。对于需要处理多租户、复杂内外网流量的企业级 Agent 系统，理解这一屏障至关重要。</p> <h2 id="网络命名空间逻辑隔离的基石">网络命名空间：逻辑隔离的基石</h2> <p>每一个网络命名空间都拥有一套完整的网络协议栈：独立的网卡、IP 地址、路由表、防火墙规则。</p> <ul> <li><strong>veth pair</strong>：连接命名空间的“桥梁”，一端插入 NetNS，另一端连接宿主机的网桥 (Bridge)。</li> <li><strong>Bridge (网桥)</strong>：充当虚拟交换机，实现同一宿主机下不同命名空间的通信。</li> <li><strong>iptables/netfilter</strong>：通过 NAT 和转发规则，控制容器与宿主机、容器与互联网之间的流量。</li> </ul> <hr> <h2 id="企业级-agent-的网络痛点与隔离设计">企业级 Agent 的“网络痛点”与隔离设计</h2> <p>在设计 Agent 时，我们不仅要让它“联网”，更要实现“受控的隔离”。</p> <h3 id="1-复杂环境下的隔离策略">1. 复杂环境下的隔离策略</h3> <ul> <li><strong>租户间流量切断</strong>：利用不同的 NetNS 为每个租户 Agent 分配独立的虚拟网卡，通过宿主机 Bridge 的 ACL 规则彻底隔离租户流量，防止横向探测。</li> <li>** egress 出口管控**：在容器命名空间内设置统一网关，强制所有出站流量必须经过 Agent 统一治理网关（Proxy/WAF），进行行为审计与流量清洗。</li> </ul> <h3 id="2-流量调试与可观测性">2. 流量调试与可观测性</h3> <p>在复杂网络环境下，Agent 经常遇到“请求发不出去”或“响应超时”，如何快速定位？</p> <ul> <li><strong>“旁路探测”</strong>：在容器内注入 <code>tcpdump</code> 或 <code>mitmproxy</code>，通过 Unix Domain Socket 将抓包数据实时流转至外层 Agent 的治理工具链中，而非直接在容器内执行调试命令。</li> <li><strong>全链路追踪</strong>：在 Agent 发起请求的协议层（如 HTTP Request Header）植入 <code>X-Trace-ID</code>，通过宿主机侧的 <code>eBPF</code> 工具监听网络流量，实现从容器内到宿主机的全链路流量关联。</li> </ul> <hr> <h2 id="实践agent-层的网络调试架构">实践：Agent 层的网络调试架构</h2> <p>不要在生产容器里进行危险的操作。推荐方案：</p>