主页 / unix / 问题 / 686155
Accepted
sea chub
Asked: 2022-01-13 18:14:05 +0800 CST

如何在网络命名空间中使用绑定挂载？

  • 772

我有一个在网络命名空间中运行的应用程序。这很好用。

我想在不同的命名空间中多次运行该应用程序。为方便起见，我想将应用程序的工作目录绑定到命名空间内的 /tmp/nsX 之类的目录。

如果我只是mount --bind /tmp/nsX /var/lib/my-app在命名空间中执行，那么当我退出命名空间时，挂载就会消失。

通过进入/退出命名空间，我的意思是ip netns exec bash

我在看，unshare但nsenter我不知道该怎么做。

我想要：

  • 为命名空间配置网络
  • 在命名空间中为我的应用程序的工作目录创建绑定挂载。
  • 在命名空间中生成我的应用程序。如果有帮助，它有一个“叉子”选项。
  • 能够离开和进入命名空间而不会死亡或消失。

如果我需要使用其他一些命名空间类型，那很好。

namespace network-namespaces

1 个回答

  1. Best Answer

    为什么会这样？

    • 网络命名空间不会更改挂载设置：它处理网络

    • 但是一些与网络命名空间相关的挂载设置，最显着的 /sys/class/net和/proc/sys/net，如上一个链接中所述，确实取决于网络命名空间

      这里的行为已经有所不同：/proc/sys/net当进入新的命名空间时，当已经挂载时会即时更改，/sys/class/net但不会。这意味着当使用真正只更改网络名称空间的命令时：

      unshare -n -- sh -c 'ls -1d /proc/sys/net/*/conf/* /sys/class/net/*'

      人们会看到以前的网络接口已经消失/proc/sys/net/（只留下一个新的lo接口实例），但仍然可见/sys/class/net/：防止与新的网络命名空间的接口交互，并且仍然允许与以前的网络命名空间的接口交互，这可能不是一个好主意.

    • 要解决这个与网络相关的问题，/sys必须从新的网络命名空间（重新）安装。为了避免影响专用于前（初始）网络命名空间的环境，这必须在较新的挂载命名空间中完成。这就是这样ip netns exec做的原因：为了为应用程序准备一个连贯的网络环境，它既进入现有的网络命名空间（通过绑定挂载创建并保持存在ip netns add），又取消共享一个新的挂载命名空间。

    • 这个挂载命名空间只有通过（a）进程引用它才能保持存在。一旦没有留下任何进程，挂载命名空间以及在其中完成的任何挂载都会消失（只能从此类进程中看到）。

    • 所以单独使用unshare -mor ip netns exec（它甚至不打算首先处理挂载）不会在调用之间保持绑定挂载。

    解决方案

    这种挂载应该在使用之前完成ip netns exec ...，一次完成，而不是在创建和销毁（挂载）命名空间的单独步骤中完成。

    /etc/netns

    实际上ip netns exec已经在它自己的调用中管理了这种绑定挂载，但是在一个特定的地方：/etc/netns . 每次ip netns exec foo调用时，如果目录和/或文件存在且匹配，它会自动将 mount 任何东西绑定/etc/netns/foo/*到其匹配的/etc/*. 由于这是一项旨在促进在单独的命名空间中运行服务的多个实例的功能，因此应该首选此解决方案。

    例如，应用程序应该从 中的特定位置检索其配置/etc/，/etc/my-app/并且那里应该有一个 per-netns 不同的文件，该文件将包含将应用程序指向其工作目录的内容，无论它在哪里，例如/var/lib/my-app/nsX（或什至/tmp/nsX）。

    该目录/etc/my-app/应该存在，并且可能包含某种模板文件，脚本将使用这些模板文件来准备运行实例，但其内容将隐藏在其他命名空间中，因为它将是绑定挂载的目标。

    mkdir -p /etc/netns # it is usually not provided by the distribution

for instance in foo bar baz; do
    mkdir "/etc/netns/$instance"
    cp -a /etc/my-app /etc/netns/$instance/
done

    然后使用脚本或手动，每个实例都应该被定制（数据的位置，pid 文件的位置等），相关目录添加到其他地方（在/var/或/run（可能在一些引导工具/配置的帮助下，如tmpfiles.d）。

    一旦正确完成，应该能够在不同的 netns 中运行应用程序的多个实例，就像这样：

    ip netns exec foo my-app
ip netns exec bar my-app
ip netns exec baz my-app

    这不会在它们之间发生冲突（或者这意味着之前必须做更多的事情）。

    unshare -m加ip netns exec在一起

    如果应用程序无法接收参数/etc或让包装器执行它并且坚持使用 only /var/lib/my-app，那么紧随其后的绑定安装ip netns exec也将起作用：

    创建 ipnetns 命名空间：

    ip netns add foo
ip netns add bar
ip netns add baz

    准备网络配置：

    ip -n foo link ....

    运行应用程序：

    unshare -m sh -c 'mount --bind /tmp/foo /var/lib/my-app; exec ip netns exec foo my-app'
unshare -m sh -c 'mount --bind /tmp/bar /var/lib/my-app; exec ip netns exec bar my-app'
unshare -m sh -c 'mount --bind /tmp/baz /var/lib/my-app; exec ip netns exec baz my-app'

    虽然这些绑定坐骑稍后仍会消失，但它们将被现在实例化的my-app.

    它或多或少地复制了已经内置的功能，ip netns exec并带有一个额外的中间挂载命名空间。

    包装器

    您还可以简单地使用一个包装脚本，该脚本采用额外的挂载参数来避免这个额外的挂载命名空间：

    my-app.wrapper（没有检查）：

    #!/bin/sh
mount --bind /tmp/"$1" /var/lib/my-app
shift
exec my-app "$@"

    并运行：

    ip netns exec foo my-app.wrapper foo

    一体化

    无论选择哪种方法，都应该将其集成到一些启动脚本中。例如systemd，实例化的特性（这里是我的一个例子）可以与上述方法之一相结合，以动态创建和运行同一应用程序的新 netns 实例。

    • 2

相关问题