namespace(命名空间)和cgroup是软件容器化（想想Docker）趋势中的两个主要内核技术。简单来说，cgroup是一种对进程进行统一的资源监控和限制，它控制着你可以使用多少系统资源（CPU，内存等）。而namespace是对全局系统资源的一种封装隔离，它通过Linux内核对系统资源进行隔离和虚拟化的特性，限制了您可以看到的内容。 Linux 3.8内核提供了6种类型的命名空间：Process ID (pid)、Mount (mnt)、Network (net)、InterProcess Communication (ipc)、UTS、User ID (user)。例如，pid命名空间内的进程只能看到同一命名空间中的进程。mnt命名空间，可以将进程附加到自己的文件系统（如chroot）。在本文中，我只关注网络命名空间 Network (net)。 网络命名空间为命名空间内的所有进程提供了全新隔离的网络协议栈。这包括网络接口，路由表和iptables规则。通过使用网络命名空间就可以实现网络虚拟环境，实现彼此之间的网络隔离，这对于云计算中租户网络隔离非常重要，Docker中的网络隔离也是基于此实现的，如果你已经理解了上面所说的，那么我们进入正题，介绍如何使用网络命名空间。