（1）Namespace

namespace介绍：

linux namespace 是kernel 的一个功能，他可以隔离一系列的资源，比如PID ,UsrID,Network
当前linux 一共实现了6种不同类型的NameSpace
接下来我们看看怎么用go语言来调用namespace来实现环境隔离。

(1)UTS NameSpace 主要用来隔离nodename和domainname

package main
import (
"os/exec"
"syscall"
"os"
"log"
)
/**
因为要使用linux 内核，所以不能在其他平台上运行
 */
func main() {
   cmd := exec.Command("sh")
   cmd.SysProcAttr = &syscall.SysProcAttr{
      Cloneflags: syscall.CLONE_NEWUTS,
   }
   cmd.Stdin = os.Stdin
   cmd.Stdout = os.Stdout
   cmd.Stderr = os.Stderr

   if err := cmd.Run(); err!=nil{
      log.Fatal(err)
   }

}

验证
执行代码，查看进程信息
go run utsnamespace.go
pstree -pl

进程信息 父进程和子进程uts

很明显可以看到 父进程和 子进程不在一个uts中

(2)IPC NameSpace用来隔离System v IPC 和 POSIX message queues

package main

import (
"os/exec"
"syscall"
"os"
"log"
)

/**
因为要使用linux 内核，所以不能在其他平台上运行
 */
func main() {
   //sh 为被fork 出的新进场的初始命令
   cmd := exec.Command("sh")
   cmd.SysProcAttr = &syscall.SysProcAttr{
      Cloneflags: syscall.CLONE_NEWUTS |syscall.CLONE_NEWIPC,
   }
   cmd.Stdin = os.Stdin
   cmd.Stdout = os.Stdout
   cmd.Stderr = os.Stderr

   if err := cmd.Run(); err!=nil{
      log.Fatal(err)
   }

}

验证
在宿主机上开个终端
ipcs -q 无queue
ipcmk -Q 创建queue
ipcs -q 查看发现有一个queue
此时运行ipcnamespace.go
gor run ipcnamespace.go
ipcs -q 无queue
说明 该环境和外部是隔离的

宿主机ipcs 隔离环境ipcs

(3)PID Namespace ,用来隔离进程ID. 例如某个进程在容器里面 的进程pid 和在宿主机上查看是不一样的。

package main

import (
"os/exec"
"syscall"
"os"
"log"
)

/**
因为要使用linux 内核，所以不能在其他平台上运行
 */
func main() {
   //sh 为被fork 出的新进场的初始命令
   cmd := exec.Command("sh")
   cmd.SysProcAttr = &syscall.SysProcAttr{
      Cloneflags: syscall.CLONE_NEWUTS |syscall.CLONE_NEWIPC|syscall.CLONE_NEWPID,
   }
   cmd.Stdin = os.Stdin
   cmd.Stdout = os.Stdout
   cmd.Stderr = os.Stderr

   if err := cmd.Run(); err!=nil{
      log.Fatal(err)
   }

}

验证
运行pidnamespace.go ，查看pid 为1
其在宿主机的pid为15814

宿主机中的pid 隔离环境中的pid

(4)Mount Namespace 用来隔离各个进程看到的挂载点试图

package main

import (
"os/exec"
"syscall"
"os"
"log"
)

/**
因为要使用linux 内核，所以不能在其他平台上运行
 */
func main() {
    //sh 为被fork 出的新进场的初始命令
    cmd := exec.Command("sh")
    cmd.SysProcAttr = &syscall.SysProcAttr{
        Cloneflags: syscall.CLONE_NEWUTS |syscall.CLONE_NEWIPC|syscall.CLONE_NEWPID|syscall.CLONE_NEWNS,
    }
    cmd.Stdin = os.Stdin
    cmd.Stdout = os.Stdout
    cmd.Stderr = os.Stderr

    if err := cmd.Run(); err!=nil{
        log.Fatal(err)
    }

}

验证：
go mountnamespace.go
ls /proc 查看（此时文件还比较多）
mount -t proc proc /proc 将proc 挂载到我们自己的namespace下
ls /proc 查看（少了许多）

proc

（5）User Namespace 主要用来隔离用户的用户组ID 比较常用的是 在宿主机上以一个非root用户运行创建一个User Namespace 然后在User Namespace映射成root

package main

import (
"os/exec"
"syscall"
"os"
"log"
)

/**
因为要使用linux 内核，所以不能在其他平台上运行
 */
func main() {
   //sh 为被fork 出的新进场的初始命令
   cmd := exec.Command("sh")
   cmd.SysProcAttr = &syscall.SysProcAttr{
      Cloneflags: syscall.CLONE_NEWUTS |syscall.CLONE_NEWIPC|syscall.CLONE_NEWPID|syscall.CLONE_NEWNS|syscall.CLONE_NEWUSER,
   }
   cmd.Stdin = os.Stdin
   cmd.Stdout = os.Stdout
   cmd.Stderr = os.Stderr

   if err := cmd.Run(); err!=nil{
      log.Fatal(err)
   }

}

验证 （内核版本要3.8以上，我一开始使用的是2.6.32的就无法创建User Namespace）

内核2.6不能创建user namespacve 4.12的内核

(6)Network NameSpace 主要用来隔离网络设备、IP地址端口等网络栈

package main

import (
"os/exec"
"syscall"
"os"
"log"
)

/**
因为要使用linux 内核，所以不能在其他平台上运行
 */
func main() {
   //sh 为被fork 出的新进场的初始命令
   cmd := exec.Command("sh")
   cmd.SysProcAttr = &syscall.SysProcAttr{
      Cloneflags: syscall.CLONE_NEWUTS |syscall.CLONE_NEWIPC|syscall.CLONE_NEWPID|syscall.CLONE_NEWNS|syscall.CLONE_NEWUSER|syscall.CLONE_NEWNET,
   }
   cmd.Stdin = os.Stdin
   cmd.Stdout = os.Stdout
   cmd.Stderr = os.Stderr

   if err := cmd.Run(); err!=nil{
      log.Fatal(err)
   }

}

验证
在宿主机上执行ifconfig 可以看到有eth0 和 lo 网络设备
运行networknamespace.go，在此环境下无网络设备

网络验证