Namespace与Cgroups容器基础

可视化演示

演示Linux容器隔离机制：六种Namespace隔离维度、Cgroups v2资源控制、容器三层架构组合，三种模式交互切换。

隔离思想启蒙

你在租来的公寓里装了个智能音箱，喊一声“关灯”，客厅应声而灭。你觉得自己住的就是独栋别墅——因为你压根看不到隔壁老王家的客厅，也听不到他家的电视声。公寓楼靠“物理隔断”制造了独栋错觉。可如果是几十台服务器拼出的“云”，给每户都砌一道水泥墙就太奢侈了。内核想了个更省的办法：不给每户发独立地基，只给每户发“独立视野”。

这个“独立视野”机制在 Linux 里叫 Namespace（命名空间）。当一个进程被放进某个命名空间，它就“以为”自己独占了一台机器：能看到的进程表、网卡、挂载点、主机名，都是这个空间私有的视角。早在 UNIX 时代，chroot 只能隔离文件系统路径；如今内核一口气提供了六种 Namespace，分别隔离六个维度。

六种分别是：PID（进程编号）、NET（网络栈）、UTS（主机名）、IPC（进程间通信）、MNT（挂载点）、USER（用户映射）。它们由 clone() / unshare() 系统调用创建，子进程默认继承父进程所在的命名空间，于是形成一棵“视图继承树”。注意容器与虚拟机的根本区别：虚拟机自带独立内核，像一户人家自建地基；容器共享宿主机内核，只是视野和账本被隔开。所以一台物理机能跑几百个容器，但隔离强度不如虚拟机。

这就是公寓楼的“借景”装修：承重墙不能动，但每户都通过隔断、磨砂玻璃和独立门锁，获得“整栋楼就我一家”的体验。Namespace 就是那几扇磨砂玻璃——廉价，但够用；真正的承重墙，始终握在内核手里。

进程编号隔离

老王家的户口本第一页写的是户主老王，第二页是孩子。你家的户口本第一页也写着“户主”。两本户口本都从 1 号开始编号，谁也不跟谁打架——因为户口本只在派出所的某个分区里登记。PID Namespace 干的就是这件事：让每个容器都拥有一本从“第 1 号”开始的私人户口本。

在 Linux 里，每个进程在宿主机上都有一个全局唯一的 PID，从 1 号（init 进程）开始递增。但进程一旦进入某个 PID 命名空间，它就会在该空间里被重新编号：空间里第一个进程变成 PID 1。容器启动时，用户指定的第一个程序（比如 nginx 或 java）就是这个“户主”。你在容器里执行 ps，只能看到本空间的进程，宿主机那几百个进程全被隔墙挡在视野之外。

PID 1 还肩负两项特殊职责：收养孤儿进程（父进程先死后，孤儿被内核挂到 PID 1 名下）；转发信号（docker stop 向 PID 1 发送 SIGTERM）。经典坑点：如果容器入口程序不处理 SIGTERM，docker stop 会一直等到超时然后强杀。这就像户主不在家时，物业敲门没人应，只能破门而入。

所以排查容器问题时先得“对表”：容器内报 PID 456 的进程，在宿主机上可能是 98765。运维老手会在两本户口本之间来回翻译——这正是 docker inspect 里 Pid 字段存在的意义。

网络空间隔离

每户公寓都有独立的路由器接口，墙壁还是隔音的——隔壁的 Wi-Fi 信号无论怎么扫都进不了你家。这就是 NET Namespace 的比喻。网络空间隔离是六种 Namespace 中与 TCP/IP 章节关系最紧的一个：每个命名空间都拥有一整套独立的网络协议栈视图。

一个 NET Namespace 里包含：网卡设备（包括回环 lo）、IPv4/IPv6 地址、路由表、iptables / netfilter 规则、端口监听表（socket 表）。因此，容器 A 可以监听 80 端口，容器 B 同样可以监听 80 端口——它们的“插座表”分属两个独立的网络栈。这直接回答了新手最常见的问题：“两个容器为什么能用同一个端口？”

但别忘了关键边界：宿主机自己也拥有一个 netns，宿主机上的 80 端口是全楼唯一的。docker run -p 8080:80 的意思是“把容器内 80 号插座接到大楼总机的 8080 号插孔”，总机插孔依然全局唯一。默认情况下，两个 netns 之间完全不通，必须用虚拟以太网设备 veth pair（一根虚拟网线）把两户连起来，再借助 bridge（虚拟交换机）或路由让它们互通。这正是 Docker bridge 网络与 Kubernetes CNI 插件的底层原理。

排查“容器间网络不通”时，先问一句：它们之间拉虚拟网线了吗？挂在同一台虚拟交换机上了吗？隔音墙太厚，没有网线就连不上——这不是 bug，是设计使然。

其余四种空间

门牌号（UTS）、内线电话（IPC）、储物间图纸（MNT）、以及“在家是主人、出门是租客”的身份切换（USER）。剩下这四种命名空间，像公寓里四个不起眼却不可或缺的设施，共同补齐了独栋错觉的最后几块拼图。

UTS Namespace 隔离主机名（hostname）和 NIS 域名。每户可以给自己的门牌起名：在容器里执行 hostname 改成 web-01，宿主机和别的容器完全无感。IPC Namespace 隔离 System V 消息队列、信号量和共享内存。每户只有自己家里的内线电话，拨不通邻居家的分机——所以两个容器即使内存共享机制开放，也无法直接通过 IPC 对象互通。

Mount Namespace 隔离挂载点视图。同一个宿主机目录，在不同容器里可以挂到不同位置，甚至套用不同的文件系统参数。容器镜像的分层文件系统（overlayfs）正是靠它做到“每个容器看到自己的根文件系统”，就像物业让每位租客拿到一张专属的储物间图纸——同一个储物间，各有各的布局图。User Namespace 则维护一张 UID 映射表：容器里的 root（编号 0）映射到宿主机普通用户（如 uid 1000），于是容器内的“管理员”在宿主上毫无特权——相当于给租客发一把“看起来是万能钥匙、实际上只能开自家房门”的钥匙。

这四个空间加上前面的 PID、NET，凑齐了容器“独栋错觉”的完整拼图。下一块拼图是全局的“账本管控”——Cgroups。

资源配额控制

视野可以隔断，但水电总是有限的。如果不装水表电表，某户疯狂开暖气开空调，整栋楼都会跳闸。Cgroups（控制组） 就是内核里的水电表：把一组进程圈进一个“控制组”，统一计量并限制它们的 CPU、内存、IO 等资源用量。

在 cgroup v1 时代，每个资源子系统各自成一棵树：cpu、memory、blkio 的目录散落在 /sys/fs/cgroup 下，一个进程可能同时挂在多棵树上。CPU 控制的核心是 CFS 带宽机制：cpu.cfs_quota_us（预算）配合 cpu.cfs_period_us（结算周期）。内存方面，memory.limit_in_bytes 设定上限，超过上限时内核先回收缓存页，还不够就触发 OOM 杀死组内进程——相当于给这户先减用水、再直接断水。

要特别分清楚两个概念：quota 是硬上限。设 50ms/100ms，表示每个 100ms 周期内最多给这组进程 50ms 的单核时间，用满就被限流（throttle），哪怕其它核此刻闲着。权重（shares）是软分配，只在带宽竞争时按比例分水，没有硬顶。类比：quota 是“这户每月最多用 100 吨水”，shares 是“全楼缺水时各户按比例分水”。

一个典型的生产事故：Java 服务在容器里识别到宿主机 32 核，拼命开线程，实际配额只有 2 个核，于是 CPU 被打爆、请求排队。解决方法是让 JVM 感知 Cgroup 配额。记住这句话：Namespace 管“看到什么”，Cgroups 管“能用多少”。

统一层级革新

老式物业的管理方式里，水费、电费、燃气费各记一本账，月底对账经常对不上。Cgroups v2 的革新就是“一户一档”：所有控制器挂到同一棵层级树上，每个控制组是一棵子树，目录里同时放着 cpu.max、memory.max 等文件，资源状态一目了然。

v2 还引入了一条重要规则：no internal process——一个控制组要么当叶子节点挂进程，要么当父节点挂子控制组，两者不可同时。这杜绝了 v1 里“账目互相拉扯”的歧义：父子节点同时有进程时，资源到底算谁的？在 v2 中这个糊涂账被彻底取消。CPU 接口也从两个文件合并成一行 cpu.max，格式为"quota period"，读取与设置都更简洁。

与 eBPF 的结合是 v2 的点睛之笔。eBPF 是内核里的“智能摄像头”：把一段经过验证的字节码安全地挂到 cgroup 相关的内核探针上，能在不过问进程内部的前提下，实时统计每个控制组的网络流量、磁盘延迟、CPU 排队。其中 PSI（Pressure Stall Information） 统计进程排队等待 CPU/内存/IO 的时间占比，是判断“资源到底够不够”的黄金指标。典型组合就是：eBPF 观测 + Cgroups 限流，构成云原生可观测性与自动弹性伸缩的底座（如 Cilium 网络策略）。

物业的智能化升级，让“哪户水压不稳”从玄学变成可量化、可干预、可预测的数据。从 v1 的多本账到 v2 的一座台账，容器运行时的地基焕然一新，云原生的大规模自动调度也因此有了底气。

云原生运行时

把“视野隔离”和“账本管控”拼在一起，就是 Docker 的“一键出租”：用户写一份“户型图”（镜像），Docker daemon 用 clone 创建带六套 Namespace 的进程孤岛，再把它塞进 Cgroup 控制组限量运行。docker run 一句话，物业已经把户口本、路由器、水电表全部配齐。

Kubernetes 更进一步：Pod 是“合租套房”。同一个 Pod 里的容器共享同一个 NET 和 UTS Namespace——它们通过 localhost 就能互访，共用一张网卡。实现方式是一个不起眼的 pause 容器：Pod 先启动 pause 进程占住命名空间，业务容器再以“加入”的方式挂进来。资源侧，每个 Pod 对应一个 Cgroup：Guaranteed QoS 对应精确的 quota，Burstable 对应 shares 权重。

共享内核的代价是攻击面集中：一个内核漏洞可能让容器逃逸到宿主机。因此生产环境普遍叠加三层加固：User Namespace 映射（削弱容器内 root 的真实权限）、Capabilities 裁剪（去掉 CAP_SYS_ADMIN 等危险权能）、seccomp 白名单（拦截未授权的系统调用）。eBPF 安全产品（Falco、KubeArmor）则实时拦截恶意 syscall，等于在每户门口加装了智能门磁。

从一户公寓到一个社区，Namespace 保证“看不见”，Cgroups 保证“不抢食”，eBPF 保证“看得清”——这就是云原生容器世界的地基三件套。下次执行 docker run 或 kubectl apply 时，物业的管理处正在背后默默工作。

AI 应用场景

Python 演示

"""Namespace 与 Cgroups 概念模拟器: 用纯 Python 复现三种核心机制."""import random  def show_namespaces():    """列出六种 Namespace 各自隔离的视野."""    scopes = {        "PID":  "进程列表",        "NET":  "网卡/路由/端口",        "UTS":  "主机名",        "IPC":  "消息队列",        "MNT":  "挂载视图",        "USER": "用户ID映射",    }    for ns, scope in scopes.items():        print("[%s] 容器内只看得到本空间的%s, 宿主机被墙挡住" % (ns, scope))  def pid_remap(host_pids):    """把宿主机 PID 列表映射为容器内从 1 开始的新编号."""    mapping = {host: i + 1 for i, host in enumerate(host_pids)}    print("宿主机 PID -> 容器内 PID")    for host_pid, inner_pid in mapping.items():        print("%8d -> %d" % (host_pid, inner_pid))    return mapping  def net_isolation():    """演示两个 netns 可以同时监听 80 端口."""    print("netns_a: eth0 监听 :80")    print("netns_b: eth0 监听 :80")    print("两份端口表互不可见, 只能经 veth 对连线通信")  def cgroup_cpu_quota(quota_ms=60, period_ms=100):    """按 quota/period 模型模拟 10 个周期的限流过程."""    random.seed(7)    print("CPU 配额: %dms / %dms (每周期最多 %d%% 单核)" % (quota_ms, period_ms, quota_ms))    for t in range(1, 11):        used = 20 if t <= 5 else random.randint(70, 95)        if used > quota_ms:            print("周期%2d: 用量%3dms -> 限流!" % (t, used))        else:            print("周期%2d: 用量%3dms -> 正常" % (t, used))  if __name__ == "__main__":    print("== 六种 Namespace ==")    show_namespaces()    print("\n== PID 重新编号 ==")    pid_remap([1234, 1235, 1236])    print("\n== 网络隔离 ==")    net_isolation()    print("\n== Cgroups CPU 限额 ==")    cgroup_cpu_quota()

1. scopes = {用字典把六种 Namespace 与它们隔离的对象一一对应，是整篇文章最浓缩的“知识表”。
2. for ns, scope in scopes.items():遍历六种空间，就像物业逐一检查每面隔断墙有没有装好。
3. mapping = {host: i + 1 for i, host in enumerate(host_pids)}一行完成“宿主机 PID → 容器内 PID”的重新编号，模拟 PID Namespace 眼中从 1 开始的户口本。
4. for host_pid, inner_pid in mapping.items():打印翻译对，模拟运维同学在容器内外“对表”的日常操作。
5. print("netns_a: eth0 监听 :80")两个 netns 都能监听 80，因为端口表是各自网络栈的私有财产。
6. used = 20 if t <= 5 else random.randint(70, 95)前 5 个周期低负载、后 5 个周期高负载，制造限流对比。
7. if used > quota_ms:用量超过 quota 即触发“限流”，对应 Cgroups 的 throttle 行为。

常见误区

面试题