1
# 创建 Network Namespace
2
sudo ip netns add ns1
3

4
# 查看 Namespace 中的网络设备
5
sudo ip netns exec ns1 ip link
6
# 1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT
7
# 只有 loopback，且处于 DOWN 状态
8

9
# 容器的 Network Namespace 也是如此
10
PID=$(docker inspect -f '{{.State.Pid}}' mynginx)
11
sudo nsenter -t $PID -n ip link
12
# 1: lo: <LOOPBACK,UP,LOWER_UP>
13
# 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP>

1
# 创建 veth pair
2
sudo ip link add veth-host type veth peer name veth-container
3

4
# 将一端放入容器的 Network Namespace
5
sudo ip link set veth-container netns ns1
6

7
# 在容器内配置 IP
8
sudo ip netns exec ns1 ip addr add 10.0.0.2/24 dev veth-container
9
sudo ip netns exec ns1 ip link set veth-container up
10
sudo ip netns exec ns1 ip link set lo up
11

12
# 在宿主机配置 IP
13
sudo ip addr add 10.0.0.1/24 dev veth-host
14
sudo ip link set veth-host up
15

16
# 测试连通性
17
sudo ip netns exec ns1 ping -c 3 10.0.0.1

1
# 查看 Docker 容器的 veth pair
2
docker exec mynginx ip link show eth0
3
# 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500
4
#     link/ether 02:42:ac:11:00:02 brd ff:ff:ff:ff:ff:ff
5

6
# 在宿主机上找到对应的另一端
7
ip link | grep -A1 "veth"
8
# 5: veth123@if2: <BROADCAST,MULTICAST,UP,LOWER_UP>
9
#     link/ether 3a:2b:1c:4d:5e:6f brd ff:ff:ff:ff:ff:ff
10

11
# 注意：veth123 的 @if2 表示它的对端是 interface index 2
12
# 容器内 eth0 的 index 正是 2

1
# 创建 bridge
2
sudo ip link add br0 type bridge
3
sudo ip link set br0 up
4

5
# 将 veth pair 的宿主端连接到 bridge
6
sudo ip link set veth-host master br0
7

8
# 配置 bridge 的 IP 地址（作为容器的网关）
9
sudo ip addr add 172.17.0.1/16 dev br0

1
# 查看 bridge 的 MAC 转发表
2
bridge fdb show br docker0
3

4
# 输出示例：
5
# 02:42:ac:11:00:02 dev veth123 master docker0
6
# 02:42:ac:11:00:03 dev veth456 master docker0
7
# 33:33:00:00:00:01 dev docker0 self permanent

1
# Docker 创建的 NAT 规则
2
sudo iptables -t nat -L POSTROUTING -n -v
3

4
# Chain POSTROUTING (policy ACCEPT)
5
# MASQUERADE  all  --  172.17.0.0/16  0.0.0.0/0
6
# ↑ 容器网段的所有出站流量做 MASQUERADE（动态 SNAT）

1
# docker run -p 8080:80 nginx 创建的 DNAT 规则
2
sudo iptables -t nat -L DOCKER -n -v
3

4
# Chain DOCKER (2 references)
5
# DNAT  tcp  --  0.0.0.0/0  0.0.0.0/0  tcp dpt:8080 to:172.17.0.2:80
6
# ↑ 访问宿主机 8080 端口的流量转发到容器 80 端口

1
# bridge 模式（默认）
2
docker run -d nginx
3

4
# host 模式
5
docker run --network=host -d nginx
6

7
# none 模式
8
docker run --network=none -d nginx
9

10
# container 模式（共享另一个容器的网络栈）
11
docker run --network=container:nginx_id -d myapp

1
# 创建自定义 bridge 网络
2
docker network create --driver bridge --subnet 10.0.0.0/24 mynet
3

4
# 在自定义网络中运行容器
5
docker run --network=mynet -d --name app1 nginx
6
docker run --network=mynet -d --name app2 redis
7

8
# 容器间可以通过名称通信（Docker DNS）
9
docker exec app1 ping -c 3 app2
10
# PING app2 (10.0.0.3): 56 data bytes

1
{
2
  "cniVersion": "0.4.0",
3
  "name": "bridge-network",
4
  "type": "bridge",
5
  "bridge": "cni0",
6
  "ipam": {
7
    "type": "host-local",
8
    "subnet": "10.244.0.0/24",
9
    "routes": [{"dst": "0.0.0.0/0", "gw": "10.244.0.1"}]
10
  },
11
  "dns": {"nameservers": ["8.8.8.8"]}
12
}

1
# Pod 内的 pause 容器创建 Network Namespace
2
# 其他容器加入 pause 的 Network Namespace
3

4
# 效果：
5
# 1. 所有容器共享同一个 IP 地址
6
# 2. 所有容器共享同一个端口空间
7
# 3. 容器间可以通过 localhost 通信
8
# 4. 容器间可以通过 IPC 通信

1
#!/bin/bash
2
# 手动创建容器网络（模拟 Docker bridge 模式）
3

4
# 1. 创建 Network Namespace
5
sudo ip netns add container1
6

7
# 2. 创建 veth pair
8
sudo ip link add veth-host1 type veth peer name veth-container1
9

10
# 3. 将一端放入容器 NS
11
sudo ip link set veth-container1 netns container1
12

13
# 4. 创建 bridge
14
sudo ip link add br-container type bridge
15
sudo ip link set br-container up
16
sudo ip addr add 10.0.0.1/24 dev br-container
17

18
# 5. 连接 veth 到 bridge
19
sudo ip link set veth-host1 master br-container
20
sudo ip link set veth-host1 up
21

22
# 6. 配置容器内的网络
23
sudo ip netns exec container1 ip addr add 10.0.0.2/24 dev veth-container1
24
sudo ip netns exec container1 ip link set veth-container1 up
25
sudo ip netns exec container1 ip link set lo up
26
sudo ip netns exec container1 ip route add default via 10.0.0.1
27

28
# 7. 配置 NAT
29
sudo iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -j MASQUERADE
30
sudo sysctl -w net.ipv4.ip_forward=1
31

32
# 8. 测试连通性
33
sudo ip netns exec container1 ping -c 3 8.8.8.8
34

35
# 9. 清理
36
sudo ip netns delete container1
37
sudo ip link delete br-container
38
sudo iptables -t nat -D POSTROUTING -s 10.0.0.0/24 -j MASQUERADE

1
#!/bin/bash
2
# 容器网络诊断脚本
3

4
CONTAINER=$1
5
PID=$(docker inspect -f '{{.State.Pid}}' $CONTAINER 2>/dev/null)
6

7
if [ -z "$PID" ]; then
8
    echo "Container not found"
9
    exit 1
10
fi
11

12
echo "=== 容器网络配置 ==="
13
echo "Container: $CONTAINER (PID: $PID)"
14
echo ""
15

16
echo "1. 网络接口"
17
sudo nsenter -t $PID -n ip addr
18

19
echo ""
20
echo "2. 路由表"
21
sudo nsenter -t $PID -n ip route
22

23
echo ""
24
echo "3. DNS 配置"
25
sudo nsenter -t $PID -n cat /etc/resolv.conf
26

27
echo ""
28
echo "4. 连通性测试"
29
sudo nsenter -t $PID -n ping -c 2 -W 2 8.8.8.8 2>&1 | tail -3
30

31
echo ""
32
echo "5. iptables NAT 规则"
33
sudo iptables -t nat -L DOCKER -n -v 2>/dev/null | grep "$CONTAINER"
34

35
echo ""
36
echo "6. veth pair 对应"
37
sudo nsenter -t $PID -n ip link show eth0 2>/dev/null | grep "link/ether"

1
# 性能基准测试
2
# 1. bridge 模式（默认）
3
docker run --network=bridge --rm alpine iperf3 -c 192.168.1.1
4
# 吞吐量: ~8 Gbps
5

6
# 2. host 模式
7
docker run --network=host --rm alpine iperf3 -c 192.168.1.1
8
# 吞吐量: ~10 Gbps (接近原生)
9

10
# 3. 性能差距来源
11
# bridge 模式: veth pair + bridge + iptables NAT
12
# host 模式: 直接使用宿主网络栈

1
# Cilium 的 eBPF 优化点
2
# 1. 用 eBPF 替代 iptables 做服务负载均衡
3
# 2. 用 eBPF 做 Network Policy 执行
4
# 3. 用 eBPF 做连接跟踪
5
# 4. 绕过部分内核协议栈路径
6

7
# 安装 Cilium
8
helm install cilium cilium/cilium \
9
  --namespace kube-system \
10
  --set kubeProxyReplacement=strict

1
ip netns add ns1
2
ip netns add ns2
3
ip netns list

1
ns2
2
ns1

1
ip link add veth1 type veth peer name veth2
2
ip link show veth1

1
27: veth1@veth2: <BROADCAST,MULTICAST,M-DOWN> mtu 1500 qdisc noop state DOWN mode DEFAULT qlen 1000
2
    link/ether 12:30:f5:ac:41:b2 brd ff:ff:ff:ff:ff:ff

1
ip link set veth2 netns ns1
2

3
# 确认 veth2 已在 ns1 中
4
ip netns exec ns1 ip link show

1
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT qlen 1000
2
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
3
26: veth2@if27: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN mode DEFAULT qlen 1000
4
    link/ether 2e:a3:f7:94:33:a6 brd ff:ff:ff:ff:ff:ff link-netnsid 0

1
# 宿主端
2
ip addr add 10.0.0.1/24 dev veth1
3
ip link set veth1 up
4

5
# ns1 端
6
ip netns exec ns1 ip addr add 10.0.0.2/24 dev veth2
7
ip netns exec ns1 ip link set veth2 up
8
ip netns exec ns1 ip link set lo up

1
ping -c 2 10.0.0.2

1
--- 10.0.0.2 ping statistics ---
2
2 packets transmitted, 2 received, 0% packet loss, time 1001ms
3
rtt min/avg/max/mdev = 0.064/0.633/1.203/0.569 ms