命名空间——网络（net）

想象你的电脑是一栋大楼，每个网络命名空间就是大楼里的一个"独立房间"：

材料中用两种方式创建网络命名空间：

sudo unshare -n：创建一个临时的网络命名空间（退出后自动销毁）；
sudo ip netns add mynet：创建一个"持久化"的网络命名空间（名字叫 mynet），即使里面没有进程运行也不会消失（相当于给房间挂了个牌子，不会被轻易拆掉）。

查看已有的命名空间：

bash 复制代码

sudo ip netns list  # 会显示刚才创建的 mynet

要操作 mynet 这个"房间"里的网络，需要用 ip netns exec 命令"进入房间"：

bash 复制代码

sudo ip netns exec mynet [命令]  # 表示在 mynet 命名空间中执行某个命令

比如，查看 mynet 里的网卡：

bash 复制代码

sudo ip netns exec mynet ip link show

此时会看到一个叫 lo 的网卡（环回接口），这是每个网络命名空间默认自带的"内部回环接口"（相当于房间里的"内部电话"，用于进程自己跟自己通信）。

默认情况下，lo 接口是关闭的（就像内部电话没插线），需要手动打开：

bash 复制代码

sudo ip netns exec mynet ip link set dev lo up

打开后，命名空间内的程序可以通过 127.0.0.1 访问自己（比如本地服务）。

现在 mynet 这个房间是完全孤立的，和主机（默认命名空间）没有连接。怎么让它们通信？需要一根"虚拟网线"------veth 对（虚拟以太网接口对）。

veth 对是一对"捆绑在一起的虚拟网卡"：就像一根网线的两端，一端插在主机（默认命名空间），另一端插在 mynet 房间，这样两边就能传数据了。

创建 veth 对：

bash 复制代码

sudo ip link add veth0 type veth peer name veth1

现在 veth0 和 veth1 都在主机的默认命名空间里，我们需要把 veth1 移到 mynet 房间：

bash 复制代码

sudo ip link set veth1 netns mynet

此时：

有了网线，还需要给两端的接口分配 IP 地址（门牌号）才能通信：

给 mynet 房间里的 veth1 分配 IP：172.2.0.1/24

bash 复制代码

sudo ip netns exec mynet ip addr add 172.2.0.1/24 dev veth1
sudo ip netns exec mynet ip link set dev veth1 up  # 启用这个接口

给主机的 veth0 分配 IP：172.2.0.2/24

bash 复制代码

sudo ip addr add 172.2.0.2/24 dev veth0
sudo ip link set dev veth0 up  # 启用这个接口

现在主机和 mynet 房间通过 veth 对连接，应该能互相 ping 通：

主机 ping mynet 里的 veth1（IP：172.2.0.1）：
bash 复制代码
```
ping -c1 172.2.0.1  # 成功收到回复
```
mynet 房间 ping 主机的 veth0（IP：172.2.0.2）：
bash 复制代码
```
sudo ip netns exec mynet ping -c1 172.2.0.2  # 成功收到回复
```

此时 mynet 房间只能和主机通信，但不能上互联网（比如 ping 百度）。原因是：
mynet 房间的"导航地图"（路由表）里，没有"如何走到互联网"的路线。

要解决这个问题，需要：