namespace和cgroup是软件容器化趋势中的两个主要内核技术。简单来说，cgroup是一种对进程进行统一的资源监控和限制，控制着使用多少系统资源（CPU，内存等）。而namespace是对全局系统资源的一种封装隔离，它通过Linux内核对系统资源进行隔离和虚拟化的特性。
原理
Linux内核2.4仅实现了mount namespace，从内核 2.6开始实现了，在内核 3.8 中才宣布完成6种类型的命名空间：Process ID (pid)、Mount (mnt)、Network (net)、InterProcess Communication (ipc)、UTS、User ID (user)。随着Linux自身的发展以及容器技术持续发展带来的需求，会支持有新的namespace，比如在内核 4.6 中添加了Cgroup namespace。
Linux提供多个API用来操作namespace，分别是clone()、setns() 和unshare() 函数，为了确定隔离的namespace，在使用这些 API 时，通常要指定调用参数：CLONE_NEWIPC 、CLONE_NEWNET、CLONE_NEWNS、CLONE_NEWPID、CLONE_NEWUSER、CLONE_NEWUTS和CLONE_NEWCGROUP。
从Linux 3.8的内核开始，/proc/[pid]/ns 目录下会包含进程所属的 namespace 信息。
pid命名空间会使得进程只能看到同一pid命名空间中的进程。mnt命名空间，可以将进程附加到自己的文件系统(如chroot)。本文只关注网络命名空间 Network (net)。
网络命名空间为命名空间内的所有进程提供了全新隔离的网络协议栈。这包括网络接口，路由表和iptables规则。通过使用网络命名空间可以实现网络虚拟环境，实现彼此之间的网络隔离，这对于云计算中租户网络隔离非常重要，Docker中的网络隔离也是基于此实现的。
备注：ip命令要以root用户身份运行。
1.新增一个网络命名空间(名称netns0)
# ip netns add netns0
从系统的角度来看，当通过clone()系统调用创建一个新进程时，传递CLONE_NEWNET标志，在新进程中创建一个全新的网络命名空间。从用户的角度来看，使用ip命令创建一个新的名为netns0的持久网络命名空间。创建命名空间后，ip命令会在/var/run/netns目录下增加一个netns0文件。
列出系统中可用的命名空间：
# ip netns show 或ip netns list
2. 网络命名空间包含自己的网络资源：接口，路由表等。默认添加的网络命名空间netns0中会自动添加一个loopback(回环)接口但要手工开启回环口lo网卡
# ip netns exec netns0 ip link set lo up
查看网络lo回环口信息：
# ip netns exec netns0 ip a
# ip netns exec netns0 ping 127.0.0.1 -c 3
实战：打通两个命名空间的网络
1) 创建2个网络命名空间
# ip netns add netns0
# ip netns add netns1
2) 模拟创建一根网线：
2.1) 先创建1对veth虚拟网络设备
# ip link add name vnet0 type veth peer name vnet1
# ip addr show
1: vnet1@vnet0: <BROADCAST,MULTICAST, M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether 52:42:c3:02:54:38 brd ff:ff:ff:ff:ff:ff
2: vnet0@vnet1: <BROADCAST,MULTICAST, M-DOWN> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether a6:20:57:dc:c6:dd brd ff:ff:ff:ff:ff:ff
注意：这两个虚拟网络设备都属于“default” 或“global”命名空间，和物理网卡一样。
2.2) 把veth0设置到netns0命名空间，把veth1设置到netns1命名空间：
# ip link set vnet0 netns netns0
# ip link set vnet1 netns netns1
2.3) 给两个主机分别配置ip(进入命名空间启动网卡然后给网卡配置ip)，然后互ping
# ip netns exec netns0 ip link set vnet0 up
# ip netns exec netns1 ip link set vnet1 up
# ip netns exec netns0 ip a add 192.168.0.2 dev vnet0
# ip netns exec netns1 ip a add 192.168.0.3 dev vnet1
# ip netns exec netns0 ping 192.168.0.3
connect: 网络不可达
2.4) 添加路由(互相配置对端ip为网关，为什么?)
# ip netns exec netns0 ip route add 192.168.0.3 dev vnet0
# ip netns exec netns1 ip route add 192.168.0.2 dev vnet1
在netns0中去ping netns1主机
# ip netns exec netns0 ping 192.168.0.3 -c 2
PING 192.168.0.3 (192.168.0.3) 56(84) bytes of data.
64 bytes from 192.168.0.3: icmp_seq=1 ttl=64 time=0.021 ms
64 bytes from 192.168.0.3: icmp_seq=2 ttl=64 time=0.047 ms
--- 192.168.0.3 ping statistics ---
以上仅限于同一主机上网络可达，但不同主机上的网络不通。
3) 在主机上配置ip转发，并且在iptables设置伪装。
ip转发指：当Linux主机存在多个网卡的时候，允许一个网卡的数据包转发到另外一张网卡。iptables的介绍，请点我点我哦。
3.1) 开启ip转发
echo 1 > /proc/sys/net/ipv4/ip_forward
3.2) 刷新forward规则
iptables -F FORWARD
iptables -t nat -F
3.3) 刷新nat规则
iptables -t nat -L -n
3.4) 告诉iptables伪装起来
iptables -t nat -A POSTROUTING -s 192.168.0.3/255.255.255.0 -o eth0 -j MASQUERADE # eth0连接外网
3.5) 允许veth0和eth0之间的转发
iptables -A FORWARD -i eth0 -o veth0 -j ACCEPT
iptables -A FORWARD -o eth0 -i veth0 -j ACCEPT
参考
https://zhuanlan.zhihu.com/p/65566171
https://blog.csdn.net/guotianqing/article/details/82356096
https://www.cnblogs.com/sparkdev/p/9365405.html 对namespace api的介绍
https://segmentfault.com/a/1190000006908272
