在Linux系统中实现网络隔离，核心是通过系统提供的网络命名空间、虚拟网络设备、防火墙规则等原生能力，将不同进程或服务的网络环境相互分隔，避免网络流量互相干扰，同时提升整体安全性。这种隔离方式不需要额外安装第三方工具，兼容性好且配置灵活，适合多种场景使用。
Linux网络隔离的核心组件
网络命名空间（network namespace）
网络命名空间是Linux内核提供的隔离机制，每个独立的网络命名空间都有自己专属的网络栈，包括网卡、路由表、iptables规则、端口号等资源，不同命名空间之间的网络资源默认完全隔离，无法直接通信。
veth虚拟网卡对（veth pair）
veth pair是一对虚拟网卡，相当于一根虚拟网线的两端，一端在某个网络命名空间中，另一端在默认命名空间或者其他命名空间中，可以用来打通不同网络命名空间之间的网络通路，是实现跨命名空间通信的核心组件。
iptables防火墙规则
iptables是Linux系统的包过滤工具，可以通过配置规则限制网络流量的进出，配合网络命名空间使用，可以进一步细化隔离策略，比如禁止某个命名空间访问特定的外部网络，或者限制端口访问权限。
基础网络隔离实现步骤
1. 创建网络命名空间
使用ip命令创建新的网络命名空间，这里创建两个命名空间ns1和ns2，后续演示隔离效果：
# 创建两个网络命名空间 ip netns add ns1 ip netns add ns2 # 查看当前所有的网络命名空间 ip netns list
2. 创建veth pair并分配到命名空间
创建一对veth虚拟网卡，将一端放入ns1命名空间，另一端放入ns2命名空间，分别配置IP地址：
# 创建veth pair，命名为veth_ns1和veth_ns2 ip link add veth_ns1 type veth peer name veth_ns2 # 将veth_ns1放入ns1命名空间 ip link set veth_ns1 netns ns1 # 将veth_ns2放入ns2命名空间 ip link set veth_ns2 netns ns2 # 为ns1中的veth_ns1配置IP并启动 ip netns exec ns1 ip addr add 10.0.0.1/24 dev veth_ns1 ip netns exec ns1 ip link set veth_ns1 up # 为ns2中的veth_ns2配置IP并启动 ip netns exec ns2 ip addr add 10.0.0.2/24 dev veth_ns2 ip netns exec ns2 ip link set veth_ns2 up
3. 验证隔离效果
此时ns1和ns2两个命名空间之间可以互相通信，但和默认网络命名空间是隔离的，我们可以通过ping命令验证：
# 在ns1中ping ns2的IP，应该可以通 ip netns exec ns1 ping 10.0.0.2 # 在默认命名空间中ping ns1的IP，应该不通 ping 10.0.0.1
进阶隔离：限制跨命名空间访问
如果需要在两个命名空间可以通信的基础上，限制它们访问外部默认网络，可以通过iptables规则实现。首先在默认命名空间中配置NAT转发，然后限制ns1和ns2的转发规则：
# 开启默认命名空间的IP转发功能 echo 1 > /proc/sys/net/ipv4/ip_forward # 配置NAT规则，允许默认命名空间的流量转发 iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE # 添加规则禁止ns1访问外部网络，仅允许访问ns2 iptables -A FORWARD -s 10.0.0.1 -d ! 10.0.0.2 -j DROP
配置完成后，ns1只能和ns2通信，无法访问默认命名空间的其他网络资源，实现了更细粒度的隔离。
不同隔离方案对比
| 隔离方案 | 隔离程度 | 适用场景 |
|---|---|---|
| 仅使用网络命名空间 | 完全隔离，默认无通信通路 | 需要完全独立运行的服务，如单个测试环境 |
| 命名空间+veth pair | 指定命名空间之间可通信，和其他环境隔离 | 多个关联服务需要互相通信，但不需要访问外部的场景 |
| 命名空间+iptables规则 | 可自定义通信权限，灵活控制访问范围 | 需要细化网络权限的多租户场景、分级安全场景 |
注意事项
- 删除网络命名空间时，需要先清理内部的网络配置，使用
ip netns delete 命名空间名命令即可删除，对应的veth网卡会自动清理。 - 配置iptables规则后如果需要持久化，需要安装iptables持久化工具，避免系统重启后规则丢失。
- 网络命名空间的隔离仅针对网络栈，进程的其他资源如文件系统、PID等不会隔离，如果需要完整隔离可以配合其他namespace使用。
网络隔离的配置需要根据实际业务需求调整，不合理的规则可能会导致服务无法正常通信，建议在测试环境验证后再应用到生产环境。