1
┌─────────────┐ ┌─────────────┐ ┌─────────────┐
2
│  App A      │ │  App B      │ │  App C      │
3
│  Guest OS   │ │  Guest OS   │ │  Guest OS   │
4
├─────────────┤ ├─────────────┤ ├─────────────┤
5
│   vCPU      │ │   vCPU      │ │   vCPU      │
6
│   vMem      │ │   vMem      │ │   vMem      │
7
└──────┬──────┘ └──────┬──────┘ └──────┬──────┘
8
       └───────────────┼───────────────┘
9
                Hypervisor
10
             ┌─────────┴─────────┐
11
             │    Host Kernel     │
12
             └───────────────────┘
13
             ┌───────────────────┐
14
             │     Hardware      │
15
             └───────────────────┘

1
┌──────────┐ ┌──────────┐ ┌──────────┐
2
│  App A   │ │  App B   │ │  App C   │
3
│  NS+Cgrp │ │  NS+Cgrp │ │  NS+Cgrp │
4
└────┬─────┘ └────┬─────┘ └────┬─────┘
5
     └─────────────┼─────────────┘
6
          Shared Linux Kernel
7
     ┌─────────────┴─────────────┐
8
     │  Namespaces + Cgroups     │
9
     └───────────────────────────┘
10
     ┌───────────────────────────┐
11
     │        Hardware           │
12
     └───────────────────────────┘

1
// include/linux/sched.h 中的 nsproxy 结构
2
struct task_struct {
3
    // ...
4
    struct nsproxy *nsproxy;  // 指向进程的命名空间代理
5
    // ...
6
};
7

8
// kernel/nsproxy.c
9
struct nsproxy {
10
    atomic_t count;
11
    struct uts_namespace *uts_ns;      // UTS: 主机名与域名
12
    struct ipc_namespace *ipc_ns;      // IPC: System V IPC 与 POSIX MQ
13
    struct mnt_namespace *mnt_ns;      // Mount: 文件系统挂载点
14
    struct pid_namespace *pid_ns_for_children;  // PID: 进程号
15
    struct net         *net_ns;        // Network: 网络栈
16
    struct cgroup_namespace *cgroup_ns; // Cgroup: cgroup 根目录视图
17
    struct user_namespace *user_ns;    // User: 用户与组 ID
18
};

1
$ ls -la /proc/self/ns/
2
total 0
3
lrwxrwxrwx 1 root root 0 cgroup -> 'cgroup:[4026531835]'
4
lrwxrwxrwx 1 root root 0 ipc    -> 'ipc:[4026531839]'
5
lrwxrwxrwx 1 root root 0 mnt    -> 'mnt:[4026531840]'
6
lrwxrwxrwx 1 root root 0 net    -> 'net:[4026531992]'
7
lrwxrwxrwx 1 root root 0 pid    -> 'pid:[4026531836]'
8
lrwxrwxrwx 1 root root 0 user   -> 'user:[4026531837]'
9
lrwxrwxrwx 1 root root 0 uts    -> 'uts:[4026531838]'

1
# 查看 CPU 压力
2
cat /sys/fs/cgroup/mypod/cpu.pressure
3
# some avg10=0.00 avg60=0.12 avg300=0.05 total=123456
4
# full avg10=0.00 avg60=0.00 avg300=0.00 total=0
5

6
# 查看内存压力
7
cat /sys/fs/cgroup/mypod/memory.pressure
8
# some avg10=2.34 avg60=1.56 avg300=0.89 total=9876543
9

10
# 查看 IO 压力
11
cat /sys/fs/cgroup/mypod/io.pressure

1
// runc/libcontainer/process_linux.go（简化）
2
func (p *initProcess) start() error {
3
    // 1. 创建 namespace
4
    cmd.SysProcAttr.Cloneflags = p.config.Namespaces.CloneFlags()
5
    // CLONE_NEWUTS | CLONE_NEWIPC | CLONE_NEWPID | CLONE_NEWNET | CLONE_NEWNS
6

7
    // 2. 启动子进程（此时已在新 namespace 中）
8
    if err := cmd.Start(); err != nil {
9
        return err
10
    }
11

12
    // 3. 配置 cgroup
13
    if err := p.manager.Apply(p.pid()); err != nil {
14
        return err
15
    }
16

17
    // 4. 设置网络（veth pair, bridge, iptables）
18
    if err := p.network.Setup(p.config.Networks); err != nil {
19
        return err
20
    }
21

22
    // 5. 发送 execv 指令，执行容器入口
23
    return p.sendConfig()
24
}

1
# 将 eBPF 程序附加到 cgroup
2
bpftool cgroup attach /sys/fs/cgroup/mypod/ ingress pinned /sys/fs/bpf/my_filter
3

4
# 查看附加到 cgroup 的 eBPF 程序
5
bpftool cgroup show /sys/fs/cgroup/mypod/

1
# 创建新的 UTS、IPC、PID、Mount Namespace
2
# --fork: 在子进程中运行（PID NS 需要）
3
# --mount-proc: 挂载新的 /proc（否则看到宿主机的进程）
4
unshare --uts --ipc --pid --mount --fork --mount-proc /bin/bash
5

6
# 在新 Namespace 中验证隔离效果
7
hostname isolated-host
8
hostname  # 输出: isolated-host
9

10
# 另一个终端中检查宿主机 hostname 未改变
11
hostname  # 输出: 原始主机名
12

13
# 在新 PID Namespace 中
14
ps aux     # 只能看到 bash 和 ps 两个进程
15
exit       # 退出后 Namespace 自动销毁

1
# 查看当前进程的所有 Namespace
2
ls -la /proc/self/ns/
3

4
# 比较两个进程是否在同一个 Network Namespace
5
readlink /proc/1/ns/net
6
readlink /proc/$$/ns/net
7
# 如果 inode 号相同，则在同一个 Network Namespace
8

9
# 查看系统中所有不同的 Namespace
10
ls -la /proc/*/ns/* 2>/dev/null | awk '{print $NF}' | sort -u

1
# 安装 cgroup 工具
2
sudo apt install cgroup-tools
3

4
# 创建一个新的 cgroup（v1）
5
sudo cgcreate -g cpu,memory:/mygroup
6

7
# 设置 CPU 限制（50% CPU）
8
sudo cgset -r cpu.cfs_quota_us=50000 mygroup
9
sudo cgset -r cpu.cfs_period_us=100000 mygroup
10

11
# 设置内存限制（256MB）
12
sudo cgset -r memory.limit_in_bytes=268435456 mygroup
13

14
# 将进程加入 cgroup
15
sudo cgclassify -g cpu,memory:mygroup $$
16

17
# 验证
18
cat /proc/$$/cgroup

1
# 创建子 cgroup
2
sudo mkdir /sys/fs/cgroup/mycontainer
3

4
# 将当前进程加入 cgroup
5
echo $$ | sudo tee /sys/fs/cgroup/mycontainer/cgroup.procs
6

7
# 设置 CPU 限制（1 核心）
8
echo "100000 100000" | sudo tee /sys/fs/cgroup/mycontainer/cpu.max
9

10
# 设置内存限制（128MB）
11
echo 134217728 | sudo tee /sys/fs/cgroup/mycontainer/memory.max
12

13
# 禁止 swap
14
echo 0 | sudo tee /sys/fs/cgroup/mycontainer/memory.swap.max
15

16
# 限制进程数
17
echo 50 | sudo tee /sys/fs/cgroup/mycontainer/pids.max
18

19
# 查看当前资源使用
20
cat /sys/fs/cgroup/mycontainer/memory.current
21
cat /sys/fs/cgroup/mycontainer/pids.current
22

23
# 查看 PSI 压力指标
24
cat /sys/fs/cgroup/mycontainer/cpu.pressure
25
cat /sys/fs/cgroup/mycontainer/memory.pressure
26
cat /sys/fs/cgroup/mycontainer/io.pressure

1
# 终端 1：创建一个新的 Network Namespace 并运行一个进程
2
unshare --net /bin/bash
3
# 在新 Network Namespace 中启动一个简单的服务
4
nc -l 8080 &
5

6
# 终端 2：找到该 Namespace 的文件描述符
7
NS_INODE=$(readlink /proc/$(pgrep -f "unshare --net")/ns/net)
8
echo "Namespace: $NS_INODE"
9

10
# 使用 nsenter 加入该 Namespace
11
sudo nsenter --net --target $(pgrep -f "unshare --net") /bin/bash
12
ip link  # 只看到 lo 设备