Linux Namespace 不提供IPC通信能力，仅通过隔离System V和POSIX IPC资源实现通信边界控制；每个IPC Namespace拥有独立的IPC对象视图，跨Namespace不可见，且资源生命周期绑定Namespace存续。
Linux Namespace 本身不提供进程间通信（IPC）能力，而是通过隔离 IPC 资源实现通信范围的边界控制。关键在于：每个 IPC Namespace 拥有独立的 System V IPC 对象（消息队列、信号量、共享内存）和 POSIX IPC 设施（如命名信号量、消息队列、共享内存对象）视图，同一资源在不同 Namespace 中互不可见。
IPC Namespace 隔离的实际表现
启用 CLONE_NEWIPC 创建新 IPC Namespace 后：
- 子 Namespace 中创建的 System V 消息队列（
msgget）、信号量集（semget）或共享内存段（shmget），父 Namespace 进程无法通过相同 key 或 ID 访问； - POSIX IPC 对象（如
/dev/shm/xxx下的共享内存文件、/sem.xxx信号量）在不同 IPC Namespace 中路径虽同名，但指向完全不同的内核对象； - 已存在的 IPC 资源不会自动跨 Namespace 复制或继承，新 Namespace 初始化时 IPC 资源表为空。
与 UTS、PID 等 Namespace 的协同影响
IPC 隔离效果依赖于其他 Namespace 的配合：
- 仅启用 IPC Namespace，但共享 PID Namespace：不同 PID 命名空间中的进程若处于同一 IPC Namespace，仍可通信；
- Docker 默认为每个容器启用独立的 IPC + PID + UTS Namespace，因此容器间默认无法通过 System V 或 POSIX IPC 交互；
- 使用
--ipc=container:<name></name>可显式共享 IPC Namespace，此时多个容器共用一套 System V 标识符空间和 POSIX IPC 文件系统视图。
资源生命周期与清理要点
IPC 资源的释放由 Namespace 生命周期决定：
- 当最后一个属于某 IPC Namespace 的进程退出，且该 Namespace 被销毁时，其所有 System V IPC 对象会被内核自动清理；
- POSIX 共享内存对象（
shm_open创建）遵循类似文件的引用计数机制，但挂载在/dev/shm下的实例受 IPC Namespace 隔离，卸载该 Namespace 即移除其可见的全部 POSIX IPC 条目； - 避免资源泄漏：在容器或沙箱退出前未显式删除 System V 资源（如未调用
shmctl(..., IPC_RMID)），只要 Namespace 尚存，资源就持续占用内核内存。
调试与验证常用方法
确认 IPC 隔离是否生效，可结合以下方式：
- 在两个不同 IPC Namespace 的 shell 中分别执行
ipcs -q，观察消息队列列表是否完全不同； - 检查
/proc/<pid>/status</pid>中的NSs字段，确认ipc是否为独立编号； - 用
ls /dev/shm查看 POSIX 共享内存目录内容，对比不同 Namespace 下的文件名与数量； - 通过
nsenter -t <pid> -n -i command</pid>进入目标 IPC Namespace 执行 IPC 操作，验证访问权限边界。
