网络命名空间与容器网络底层

每个 netns 独立拥有：
  - 网络设备（lo、eth0、veth 等）
  - IPv4/IPv6 路由表
  - ARP / 邻居表
  - iptables / nftables 规则
  - socket 与端口号空间（两个 netns 可各用 80 端口）
  - /proc/net 下的网络统计

不隔离的：文件系统、进程、用户（这些由其他命名空间负责）

# 创建并命名一个网络命名空间
ip netns add ns1

# 进入命名空间执行命令
ip netns exec ns1 ip addr show
ip netns exec ns1 ip route

# 打开一个 shell 在里面操作
ip netns exec ns1 bash

# 列出所有命名空间，删除
ip netns list
ip netns delete ns1

# 查看进程所属的命名空间
ls -l /proc/<pid>/ns/net

veth pair 语义：
  veth0 <=============> veth1
  从 veth0 发出的包 → 从 veth1 出来
  从 veth1 发出的包 → 从 veth0 出来
  两端可以位于不同命名空间 → 实现跨命名空间连线

# 创建一对 veth
ip link add veth0 type veth peer name veth1

# 把 veth1 移入 ns1 命名空间
ip link set veth1 netns ns1

# 在 ns1 内看到 veth1 并配 IP
ip netns exec ns1 ip addr add 10.200.0.2/24 dev veth1
ip netns exec ns1 ip link set veth1 up
ip netns exec ns1 ip link set lo up

# 宿主机侧配 IP 并启用
ip addr add 10.200.0.1/24 dev veth0
ip link set veth0 up

# 直连测试
ip netns exec ns1 ping -c 2 10.200.0.1
ping -c 2 10.200.0.2

bridge 转发逻辑：
  1. 收到帧 → 学习源 MAC 与入端口
  2. 查 MAC 表：命中则从对应端口转发（单播）
  3. 未命中或广播 → 从除入端口外的所有端口泛洪
  4. 表项老化（默认 300s）后重新学习

# 创建 bridge 并启用
ip link add br0 type bridge
ip link set br0 up
ip addr add 10.200.0.1/24 dev br0

# 把多个 veth 宿主机端挂到 bridge
ip link set veth0 master br0
ip link set vethA master br0
ip link set vethB master br0

# 查看 bridge 与 MAC 表
bridge link show
bridge fdb show br br0

# 命名空间内设置默认路由指向 bridge
ip netns exec ns1 ip route add default via 10.200.0.1

# 同网段容器互访走二层（bridge 直接转发）
# 跨网段/出网走三层（宿主机转发 + NAT）

# 开启转发
sysctl -w net.ipv4.ip_forward=1

# 容器出网：对来自容器网段的流量做源地址伪装
iptables -t nat -A POSTROUTING -s 10.200.0.0/24 ! -o br0 -j MASQUERADE

# 放行转发
iptables -A FORWARD -i br0 -j ACCEPT
iptables -A FORWARD -o br0 -j ACCEPT

# 把宿主机 8080 映射到容器 10.200.0.2:80
iptables -t nat -A PREROUTING -p tcp --dport 8080 \
  -j DNAT --to-destination 10.200.0.2:80

# 注意：从容器自身所在宿主机访问时，还需 OUTPUT 链的 DNAT
iptables -t nat -A OUTPUT -p tcp --dport 8080 \
  -j DNAT --to-destination 10.200.0.2:80

# 查看 NAT 连接跟踪表
conntrack -L | grep 10.200.0.2

# 统计某条链的命中
iptables -t nat -L POSTROUTING -v -n

CNI 调用约定：
  环境变量：
    CNI_COMMAND   = ADD | DEL | CHECK | VERSION
    CNI_CONTAINERID, CNI_NETNS, CNI_IFNAME
    CNI_ARGS, CNI_PATH
  stdin：网络配置 JSON（插件名、子网、网关等）
  stdout：结果 JSON（分配的 IP、网关、DNS）

{
  "cniVersion": "1.0.0",
  "name": "mynet",
  "type": "bridge",
  "bridge": "br0",
  "isGateway": true,
  "ipMasq": true,
  "subnet": "10.200.0.0/24",
  "ipam": {
    "type": "host-local",
    "ranges": [[{ "subnet": "10.200.0.0/24" }]]
  }
}

set -e
# 1. 建 bridge
ip link add br0 type bridge
ip addr add 10.200.0.1/24 dev br0
ip link set br0 up

# 2. 建两个命名空间并连线
for i in 1 2; do
  ip netns add ns$i
  ip link add veth$i type veth peer name eth0 netns ns$i
  ip link set veth$i master br0
  ip link set veth$i up
  ip netns exec ns$i ip addr add 10.200.0.$((i+1))/24 dev eth0
  ip netns exec ns$i ip link set eth0 up
  ip netns exec ns$i ip link set lo up
  ip netns exec ns$i ip route add default via 10.200.0.1
done

# 3. 出网 NAT
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.200.0.0/24 ! -o br0 -j MASQUERADE
iptables -A FORWARD -i br0 -j ACCEPT
iptables -A FORWARD -o br0 -j ACCEPT

# 查看 veth 的卸载特性
ethtool -k veth0 | grep -E 'generic|tcp-segmentation'

# 查看收发字节、丢包、错误计数
ip -s link show veth0
ip -s link show br0

# 用 netns 内的命名空间做带宽测试
ip netns exec ns1 iperf3 -s &
iperf3 -c 10.200.0.2

IPAM 方案对比：
  host-local : 单机文件记录，简单，不跨节点
  dhcp       : 向 DHCP 服务器申请，适合传统网络
  calico-ipam: 从集群地址池分配，跨节点协调
  静态       : 配置里写死，适合固定拓扑

{
  "cniVersion": "1.0.0",
  "name": "multus-demo",
  "plugins": [
    { "type": "bridge", "bridge": "br0",
      "ipam": { "type": "host-local", "subnet": "10.200.0.0/24" } },
    { "type": "macvlan", "master": "eth1",
      "ipam": { "type": "host-local", "subnet": "10.201.0.0/24" } }
  ]
}