Linux利用命名空间创建一个自己的“容器“

admin

2024-12-07 4 0条评论

Linux利用命名空间创建自己的“容器”

Linux命名空间（Namespace）是内核提供的一种隔离机制，通过它可以实现类似于容器的功能。命名空间允许多个独立的实例共享同一个Linux内核，但每个实例都有自己的全局资源视图。本文将介绍如何使用Linux命名空间创建一个简易的容器。

1. 命名空间概述

Linux支持以下几种命名空间：

PID Namespace：进程ID隔离
NET Namespace：网络隔离
MNT Namespace：挂载点隔离
UTS Namespace：主机名和域名隔离
IPC Namespace：进程间通信隔离
USER Namespace：用户和组ID隔离

通过组合使用这些命名空间，可以创建一个具有独立网络、文件系统和进程空间的“容器”。

2. 创建自己的容器

下面是创建一个简易容器的步骤。假设你在使用一个现代的Linux发行版，并且具有 unshare和 chroot命令。

2.1 设置文件系统

首先，准备一个新的根文件系统。可以使用 debootstrap或者直接从现有系统复制一些基本文件。

mkdir -p /mycontainer
debootstrap --arch=amd64 buster /mycontainer http://deb.debian.org/debian/

或者，手动复制一些基本文件：

mkdir -p /mycontainer/{bin,lib,lib64,usr,etc}
cp -r /bin /lib /lib64 /usr /etc /mycontainer/

2.2 使用 `unshare`命令创建命名空间

接下来，使用 unshare命令创建命名空间，并切换到新的根文件系统。

sudo unshare --mount --uts --ipc --net --pid --fork --user --map-root-user chroot /mycontainer /bin/bash

上述命令做了以下事情：

--mount：创建一个新的挂载命名空间
--uts：创建一个新的UTS命名空间
--ipc：创建一个新的IPC命名空间
--net：创建一个新的网络命名空间
--pid：创建一个新的PID命名空间
--fork：在新的命名空间中fork一个新的进程
--user：创建一个新的用户命名空间
--map-root-user：将当前用户映射为命名空间中的root用户
chroot /mycontainer /bin/bash：切换到新的根文件系统，并启动bash

2.3 配置网络

在新的网络命名空间中，配置网络接口和路由。

# 在主机上创建veth对
sudo ip link add veth-host type veth peer name veth-container
sudo ip link set veth-container netns $(pidof bash)

# 在主机上配置veth-host
sudo ip addr add 192.168.1.1/24 dev veth-host
sudo ip link set veth-host up

# 在容器中配置veth-container
ip addr add 192.168.1.2/24 dev veth-container
ip link set veth-container up
ip route add default via 192.168.1.1

# 启动网络服务
/etc/init.d/networking restart

2.4 配置文件系统和挂载点

在新的挂载命名空间中，可以挂载必要的文件系统。

mount -t proc proc /proc
mount -t sysfs sys /sys
mount -t tmpfs tmp /tmp

2.5 启动容器

配置完成后，你的“容器”环境就已经准备好了。可以在这个环境中运行一些命令，验证隔离效果。

# 在容器中运行命令
hostname container
ps aux
ip addr

分析说明表

步骤	详细说明
设置文件系统	创建新的根文件系统，复制必要的文件和目录
使用 `unshare`创建命名空间	使用 `unshare`命令创建多个命名空间，并切换到新的根文件系统
配置网络	在新的网络命名空间中配置veth对和路由，确保网络连接
配置文件系统和挂载点	在新的挂载命名空间中挂载必要的文件系统，如 `proc`、`sysfs`和 `tmpfs`
启动容器	在新的命名空间中运行命令，验证隔离效果

思维导图

# 利用Linux命名空间创建自己的“容器”
## 设置文件系统
### 准备根文件系统
### 复制必要的文件和目录
## 使用`unshare`创建命名空间
### 创建多个命名空间
### 切换到新的根文件系统
## 配置网络
### 创建veth对
### 配置网络接口和路由
## 配置文件系统和挂载点
### 挂载必要的文件系统
## 启动容器
### 运行命令验证隔离效果