Linux network namespace 验证隔离链路

验证 Linux network namespace 的隔离链路，关键不是只看到一个 namespace 名称，而是同时确认三件事：网络设备是否位于预期边界、两端地址是否落在同一条 veth 网段、路由表是否存在能解释流量去向的条目。namespace 会隔离网络设备、协议栈、路由表和端口；veth 则提供一对互相连接的虚拟端点。下面用一条最小链路把这三个对象串起来。

判断结果时按“设备归属 → 地址归属 → 路由归属”读取，不要拿宿主机的 ip route 输出替代 app-ns 内的状态。

先分清 namespace 隔离了什么

把 network namespace 看作独立的网络栈边界更容易排查。宿主 namespace 可以拥有物理网卡，app-ns 可以拥有自己的虚拟端点；两边的地址、路由和端口不会因为名称相似而自动共用。veth 只是连接两个边界的媒介，不能替你补地址和路由。

给两侧接口和路由补齐信息

下面是一个最小的静态命令示例：创建 app-ns，把 veth 的一端移入其中，再给两端设置地址。示例只描述配置意图，不代表本文在当前机器上执行过。

# 创建命名空间与一对相连的虚拟端点
sudo ip netns add app-ns
sudo ip link add host-veth type veth peer name ns-veth

# 把一端移动到 app-ns，另一端留在当前 namespace
sudo ip link set ns-veth netns app-ns

# 两端使用同一条点对点网段，接口都要启用
sudo ip addr add 10.200.0.1/24 dev host-veth
sudo ip link set host-veth up
sudo ip netns exec app-ns ip addr add 10.200.0.2/24 dev ns-veth
sudo ip netns exec app-ns ip link set ns-veth up

这里最容易漏掉的是 ip link set ... up。地址已经存在但链路仍是 DOWN 时，配置文本看起来完整，实际却无法把问题缩小到路由层。若 app-ns 还要访问更远的网络，再单独设计默认路由和转发；仅验证两个 namespace 的直连时，不必把网桥、防火墙和 NAT 混入这个最小问题。

用三层状态复查隔离链路

最小复查分三层完成，每层都回答一个不同问题：

# 先确认当前 namespace 里确实有 host-veth
ip -br link show host-veth
ip -br addr show dev host-veth

# 再进入 app-ns，分别查看端点和路由
sudo ip netns exec app-ns ip -br link
sudo ip netns exec app-ns ip -br addr show dev ns-veth
sudo ip netns exec app-ns ip route

# 回到宿主边界查看路由，避免把两侧输出混在一起
ip route

如果设备层缺少一端，先回看 veth 的移动操作；如果设备和地址都在，但路由表没有目标网段，问题在路由配置；如果两侧都显示地址与直连路由，却仍无法通信，再考虑接口状态或更高层策略。这个顺序的价值在于每一步只缩小一个边界。

反例与判断清单

常见反例是只执行 ip addr 就宣布“隔离已经生效”。它只能说明某个 namespace 看到了哪些接口，不能说明另一个边界的端点是否存在，也不能说明数据包应该走哪张路由表。另一个反例是给两端配置不同网段，却期待它们像同一二层链路一样直连。

可以把这条清单当成收尾判断：设备归属正确，地址网段匹配，路由表能解释目标去向，才算完成了“隔离链路可解释”的验证。它不等同于完整的容器网络方案，也不自动涵盖转发、NAT 或防火墙策略。

相关问题

为什么宿主机能看到 veth，app-ns 却看不到？

通常是一端尚未移动到 app-ns，或查看命令仍在宿主 namespace 执行。分别在两个边界查询接口名称，比只看全局列表更可靠。

两端有地址但为什么路由检查仍然失败？

先确认接口为 UP，再确认目标地址属于直连网段；如果目标跨网段，还需要明确的下一跳或默认路由，不能只依赖地址配置。

资料参考：https://www.man7.org/linux/man-pages/man7/network_namespaces.7.html、https://www.man7.org/linux/man-pages/man4/veth.4.html、https://man7.org/linux/man-pages/man8/ip-netns.8.html。