docker技术基础——Linux Namespace

简介

docker技术是当前比较流行的一个应用容器引擎，同时是基于go语言进行开发。 本文将对docker技术的原理之一——***Linux Namespace***进行简单的讲解。

Linux Namespace

概念

相信大家都使用过docker中的容器或者使用虚拟机，在使用过程中，用户使用容器或者虚拟机的过程中就如同占有一个系统一样，不同容器或者虚拟机上的操作也只会影响当前的环境，而对宿主环境或者其他虚拟环境并不会产生影响。这种高度的隔离的原理，就是我们今天的主角——Linux Namespace。

Linux Namespace是linux提供的一种内核级别的环境隔离的方法。

namespace的种类

通过使用命名空间技术，我们可以创建一些进程使得这些进程只能看到属于同一个namespace中的系统资源，并且意识不到其他namespace的存在，因此我们可以使用Linux Namespace的方式创建一个隔离的环境。
在linux的namespace中，提供了以下6种类型的隔离机制，如下图所示：

这六种命名空间分别是：

**- UTS: 主机名

• IPC: 进程间通信 (inter process communication),共享内存、信号量、消息队列等方式实现进程之间的通信
• PID: 进程ID
• NS: 挂载点，可以达到chroot的功能，更改挂载点
• NET: 网络访问，包括接口，路由表等
• USER: 将本地的虚拟user-id映射到真实的user-id**

---

在编程过程中，我们主要需要使用以下的三个系统调用：

clone()	setns()	unshare()
用于创建子进程	将某个进程加入到某个命名空间下	使得某个进程离开某个命名空间

在使用clone创建进程的时候，如果不指定对应的namespace种类的话，那么我们创建出来的进程与父进程的命名空间是相同的，此时并不能达到隔离的效果。因此，对应到以上的六种namespace，我们有以下的六个参数可以被用于传入到clone函数中激活对应的命名空间隔离。

• Mount namespaces：CLONE_NEWNS
• UTS namespaces：CLONE_NEWUTS
• IPC namespaces：CLONE_NEWIPC
• PID namespaces： CLONE_NEWPID
• Network namespaces： CLONE_NEWNET
• User namespaces： CLONE_NEWUSER

以创建uts命名空间隔离的进程为例，可以使用以下的方式进行创建：

 int container_pid = clone(container_main, container_stack+STACK_SIZE, 
            CLONE_NEWUTS | SIGCHLD, NULL); /*启用CLONE_NEWUTS Namespace隔离 */

实现

接下来使用代码实际操作得到以上提到的不同的命名空间的隔离。主要用到的函数为linux的系统调用clone()。

UTS Namespace

int container_main(void* arg)
{
   
    printf("Container - inside the container!\n"