网络命名空间是docker实现容器网络隔离的核心机制，为每个容器提供独立网络栈，包括接口、ip、路由表、iptables规则和端口空间；通过veth pair与docker0网桥实现跨命名空间通信，bridge模式启用完整隔离，host模式复用宿主机网络栈，none模式仅保留lo，container模式共享网络命名空间。
网络命名空间（Network Namespace）是 Docker 实现容器间网络隔离的核心机制，它让每个容器拥有完全独立的网络视图。
网络命名空间提供独立网络栈
Linux 内核通过 Network Namespace 为每个容器创建一套隔离的网络资源，包括：
- 独立的网络接口（如 eth0、lo）
- 专属的 IP 地址和子网（例如 172.17.0.2/16）
- 私有的路由表（不与宿主机或其他容器共享）
- 独立的 iptables/nftables 规则集
- 单独的端口号空间（端口 80 在容器 A 和容器 B 中可同时使用）
veth pair + 网桥实现跨命名空间通信
隔离不等于断连。Docker 利用虚拟以太网设备（veth pair）打通不同命名空间：
- 每启动一个容器，Docker 创建一对 veth 设备：一端接入容器的 Network Namespace（常命名为 eth0），另一端接入宿主机的 docker0 网桥
- docker0 网桥作为二层交换机，连接所有接入的 veth 端口，使同属 bridge 网络的容器能互相 ping 通、TCP 通信
- 容器之间通信走的是内部虚拟链路，不经过宿主机物理网卡，也不影响宿主机原有路由
默认 bridge 网络天然隔离不同网络
Docker 默认为每个自定义网络（如 docker network create mynet）分配独立的网桥和子网，进一步强化隔离：
- bridge 网络之间默认不互通（除非显式用 --link 或用户定义网络配置互通规则）
- 容器只能访问所属 Network Namespace 内的接口和路由，无法看到或访问其他容器的网络栈
- 即使两个容器 IP 都是 172.17.0.2，只要它们在不同 Network Namespace 中，也不会冲突——因为它们根本不在同一个网络上下文中
对比其他网络模式看隔离效果
Network Namespace 的启用与否，直接决定隔离强度：
- bridge 模式：启用完整 Network Namespace，强隔离，推荐日常使用
- host 模式：不创建新 Network Namespace，容器直接复用宿主机网络栈，零隔离，仅用于性能敏感场景
- none 模式：创建 Network Namespace，但只保留 lo 接口，彻底断网，适合离线任务
- container 模式：复用已有容器的 Network Namespace，两个容器共享 IP 和端口，网络层面无隔离
