《Linux 网络虚拟化：namespace、veth、网桥与虚拟交换机》

# 创建/删除/查看命名空间
ip netns add red
ip netns add blue
ip netns list
# 在命名空间里执行命令
ip netns exec red ip addr

# 未特权创建自己的命名空间
unshare --net bash        # 新 bash 在隔离的网络栈里
# 命名空间里的进程
ip netns exec red sleep 1000 &

# 创建一对 veth（veth0 ⇄ veth1）
ip link add veth0 type veth peer name veth1
# 把一端放进 red 命名空间
ip link set veth1 netns red
# 两端分别配 IP 并启用
ip addr add 10.0.0.1/24 dev veth0 && ip link set veth0 up
ip netns exec red ip addr add 10.0.0.2/24 dev veth1
ip netns exec red ip link set veth1 up
ip netns exec red ping 10.0.0.1

red netns         宿主            blue netns
   veth1 ⇄======= veth0 ⇄======= veth2

# 建桥 + 挂接
ip link add br0 type bridge
ip link set veth0 master br0
ip link set veth2 master br0
ip link set br0 up
# 查看桥与端口
bridge link show
# 查看 MAC 地址表（谁在哪个口）
bridge fdb show

# 老工具 brctl 的现代替代就是 ip/bridge 命令
# 桥本身也可配 IP，作为网关与外部通信
ip addr add 10.0.0.254/24 dev br0

# 安装并启动（Debian 系）
sudo apt install openvswitch-switch
sudo systemctl enable --now openvswitch-switch
# 建桥与端口
ovs-vsctl add-br ovs0
ovs-vsctl add-port ovs0 veth0
ovs-vsctl show
# 下发一条流规则（OpenFlow）
ovs-ofctl add-flow ovs0 'priority=10,in_port=1,actions=output:2'

# 开启 IP 转发（容器/虚拟机网关的前提）
sysctl -w net.ipv4.ip_forward=1
echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
# 桥接流量的 NAT（容器访问外网）
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 ! -o br0 -j MASQUERADE

# nftables 等价规则
nft add table ip nat
nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }
nft add rule ip nat postrouting ip saddr 10.0.0.0/24 \
    oifname != "br0" masquerade

# 自定义桥接网络
docker network create -d bridge --subnet=172.20.0.0/24 mynet
docker run -d --network mynet nginx
# 查看网络细节
docker network inspect mynet
# host 模式
docker run --rm --network host alpine ip addr

# 启用 VRF 支持后创建
ip link add vrf-red type vrf table 100
ip link set vrf-red up
ip link set eth1 master vrf-red
# 策略路由：按源/目的选表
ip rule add from 10.10.0.0/16 lookup 100
ip route show table 100

租户 A 的流量 → table 100（只含租户 A 的路由）
租户 B 的流量 → table 200（只含租户 B 的路由）
同一物理接口、同一设备，两套完全隔离的转发视图

# 1. 两个命名空间
ip netns add red && ip netns add blue
# 2. 一对 veth，一端进 red
ip link add veth-r type veth peer name veth-r-br
ip link set veth-r netns red
# 3. 另一对 veth，一端进 blue
ip link add veth-b type veth peer name veth-b-br
ip link set veth-b netns blue
# 4. 建桥并挂接两个「桥端」
ip link add br0 type bridge
ip link set veth-r-br master br0
ip link set veth-b-br master br0
ip link set veth-r-br up && ip link set veth-b-br up && ip link set br0 up

# 5. 两端配 IP 并启用
ip netns exec red ip addr add 10.0.0.1/24 dev veth-r
ip netns exec red ip link set veth-r up
ip netns exec blue ip addr add 10.0.0.2/24 dev veth-b
ip netns exec blue ip link set veth-b up
# 6. 验证互通
ip netns exec red ping 10.0.0.2
# 7. 给桥配 IP，验证网关语义
ip addr add 10.0.0.254/24 dev br0
ip netns exec red ping 10.0.0.254

ip netns list                 # 命名空间都在吗
ip addr                       # 宿主网卡/桥的地址与 up 状态
ip netns exec red ip addr     # 容器侧网卡有没有 up、IP 配没配
bridge link show              # 端口挂对没有
bridge fdb show               # MAC 从哪个口进来的
ip route                      # 路由表有没有默认路由

# 抓包定位「包到底到没到」
ip netns exec red tcpdump -n -i veth-r icmp
# 同时看宿主桥侧
tcpdump -n -i br0 icmp
# 常见坑位
#  网卡 DOWN（忘了 up）→ 报文丢在本地
#  FORWARD DROP → 跨桥转发被策略挡
#  没开 ip_forward → 三层转发直接失败