slirp4netns：赋予无特权的网络命名空间连接互联网的能力

admin 3周前 (03-14) 阅读数 15 #开源软件项目

## 1. 项目介绍

slirp4netns 是一个开源项目，旨在为无特权的网络命名空间提供用户模式的网络功能（即“slirp”）。在 Linux 3.8 及之后的版本中，普通用户可以创建网络命名空间和用户命名空间。然而，由于在宿主机和命名空间之间创建 veth 对仍需要 root 权限，这些无特权的网络命名空间并未发挥出太大作用。slirp4netns 通过将命名空间中的 TAP 设备连接到用户模式的 TCP/IP 栈（slirp），实现了完全无特权的互联网连接。

## 2. 项目及技术应用场景

slirp4netns 被广泛应用于多种场景，包括 Kubernetes 发行版、容器引擎、工具等。以下是一些使用 slirp4netns 的项目：

- Kubernetes 发行版：Usernetes、k3s
- 容器引擎：Podman、Buildah、ctnr、Docker & Moby（可选）、containerd/nerdctl（可选）
- 工具：RootlessKit、become-root、slirp-cni-plugin

这些应用场景表明，slirp4netns 在容器化和微服务架构中扮演着重要角色，特别是在需要无特权网络命名空间的场景中。

## 3. 核心功能解析

slirp4netns 的核心功能包括：

- **无特权的网络命名空间连接**：通过连接 TAP 设备和用户模式的 TCP/IP 栈，实现了无特权的网络命名空间与互联网的连接。
- **配置与优化**：支持 MTU 配置、禁用宿主机环回接口等，以提高网络性能。
- **跨命名空间通信**：支持命名空间之间的通信，以及命名空间与宿主机之间的通信。

## 4. 安装与配置指南

### 安装

slirp4netns 提供了静态链接的二进制文件，适用于多种 CPU 架构，并且几乎在所有 Linux 发行版中都可以作为包进行安装。以下是一个安装示例：

```console
$ sudo apt-get install slirp4netns
```

如果要从头开始安装，可以参考以下步骤：

```console
$ ./autogen.sh
$ ./configure --prefix=/usr
$ make
$ sudo make install
```

### 配置

使用 slirp4netns 的基本步骤如下：

1. 在宿主机上创建用户/网络/挂载命名空间。
2. 在宿主机上启动 slirp4netns，并将其连接到命名空间和 TAP 设备。
3. 在命名空间中配置网络接口并连接到互联网。

```console
(host)$ unshare --user --map-root-user --net --mount
(namespace)$ echo $$ > /tmp/pid
(host)$ slirp4netns --configure --mtu=65520 --disable-host-loopback $(cat /tmp/pid) tap0
```

## 5. 实战案例分析

以下是一个使用 slirp4netns 的简单案例：

1. 创建命名空间并启动 slirp4netns。

```console
(host)$ unshare --user --map-root-user --net --mount
(namespace)$ echo $$ > /tmp/pid
(host)$ slirp4netns --configure --mtu=65520 --disable-host-loopback $(cat /tmp/pid) tap0
```

2. 配置命名空间中的网络接口。

```console
(namespace)$ ip a
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
3: tap0: <BROADCAST,UP,LOWER_UP> mtu 65520 qdisc fq_codel state UNKNOWN group default qlen 1000
    link/ether c2:28:0c:0e:29:06 brd ff:ff:ff:ff:ff:ff
    inet 10.0.2.100/24 brd 10.0.2.255 scope global tap0
       valid_lft forever preferred_lft forever
    inet6 fe80::c028:cff:fe0e:2906/64 scope link 
       valid_lft forever preferred_lft forever
(namespace)$ echo "nameserver 10.0.2.3" > /tmp/resolv.conf
(namespace)$ mount --bind /tmp/resolv.conf /etc/resolv.conf
```

3. 在命名空间中访问互联网。

```console
(namespace)$ curl www.google.com
```

## 6. 常见问题解答

- **slirp4netns 支持哪些 Linux 发行版？**

slirp4netns 几乎在所有 Linux 发行版中都可用，包括 RHEL/CentOS、Fedora、Arch Linux、openSUSE、SUSE Linux Enterprise、Debian GNU/Linux、Ubuntu、NixOS、Gentoo Linux、Slackware、Void Linux 和 Alpine Linux。

- **如何确保 slirp4netns 的安全性？**

slirp4netns 在 v1.0.0 之前的版本中静态链接了特定版本的 QEMU/libslirp。从 2021 年开始，libslirp 的漏洞不再在此仓库中收集，因为 slirp4netns 可以与任意版本的 libslirp 链接。可以通过运行 `slirp4netns --version` 来检查链接的 libslirp 版本。

## 7. 发展历程与未来展望

slirp4netns 自从发布以来，已经在多个版本中不断完善和优化。目前，它支持多种 CPU 架构，并且在各种 Linux 发行版中都有广泛的应用。未来，slirp4netns 将继续发展，以支持更多的功能和优化性能，以满足不断增长的开源社区需求。

版权声明

本文版权归开源软件库所有，未得允许禁止转裁。

上一篇：探索开源世界的魅力：Hoverboard Firmware Hack详解下一篇： SVT-HEVC编码器：开源高清视频编码的利器