Linux网络沙箱技术核心价值在于用内核原生机制实现轻量、可靠、无需容器引擎的隔离，使不信任服务“看得见、摸不着”真实网络、文件系统和进程空间。
明确目标：隔离而非禁用
运行不信任的第三方服务，核心不是阻止它启动，而是让它“看得见、摸不着”——看得见系统资源（如CPU、内存），但摸不到真实网络、文件系统和进程空间。Linux网络沙箱技术的关键价值，在于用内核原生机制实现轻量、可靠、无需容器引擎的隔离，避免Docker等方案带来的额外攻击面或权限依赖。
选对工具：按场景匹配隔离粒度
不同工具适用不同风险等级的服务：
- unshare --net：适合纯网络行为验证类服务（如HTTP探测器、DNS客户端）。它只隔离网络栈，保留原有文件系统和进程视图，启动快、开销极低，5分钟内可完成测试环境搭建。
- systemd-run --private-network --private-users：适合需临时提升安全水位的后台服务（如日志上报代理、配置同步工具）。自动分配独立UID/GID映射+网络命名空间，防止凭据泄露和横向渗透。
- Landrun：适合命令行级细粒度控制（如运行一个未知二进制或脚本）。无需root，可精确声明只读路径、禁止TCP外连、限制绑定端口，适合CI/CD流水线中安全执行第三方构建脚本。
- gVisor / Kata Containers：仅当服务需完整POSIX兼容且存在已知高危系统调用（如ptrace、mount）时启用。它们提供用户态内核或轻量VM级隔离，但带来5–15%性能损耗，不建议日常轻量服务使用。
实战四步：从创建到验证
以运行一个来源不明的Python监控脚本（monitor.py）为例，要求：能读取/var/log，可向10.10.10.10:9091发送HTTP心跳，但不能访问/etc、不能解析DNS、不能执行任意本地命令。
-
步骤1：创建最小网络命名空间
运行：sudo unshare --net --fork --pid --user --map-root-user /bin/bash。此时你进入一个只有lo接口、无路由、无DNS解析能力的环境。 -
步骤2：配通基础网络
在主机侧创建veth对并配置NAT：sudo ip link add veth0 type veth peer name veth1→sudo ip link set veth0 up→sudo ip addr add 192.168.100.1/24 dev veth0→sudo iptables -t nat -A POSTROUTING -s 192.168.100.0/24 -j MASQUERADE；再将veth1移入新命名空间并配IP：sudo ip link set veth1 netns $PID→ 进入命名空间后执行：ip link set veth1 up && ip addr add 192.168.100.2/24 dev veth1 && ip route add default via 192.168.100.1。 -
步骤3：挂载受限文件系统
用mount --bind --ro /var/log /var/log确保只读；用mount --bind /dev/null /etc/resolv.conf禁用DNS；用chroot或systemd-run --read-only-tmpfs进一步限制临时目录写入。 -
步骤4：运行并验证边界
在沙箱内执行：python3 monitor.py；检查是否能curl -I http://10.10.10.10:9091/health；尝试cat /etc/shadow（应失败）；尝试nslookup google.com（应超时）；尝试touch /tmp/test（若/tmp为tmpfs则可能成功，但无法持久化）。
关键避坑提醒
常见失效点往往不在技术本身，而在细节疏忽：
- 未关闭
lo接口的sysctl net.ipv4.conf.lo.forwarding=0可能导致意外路由泄露； - 忘记在新命名空间中运行
ip link set lo up，导致localhost通信失败； - 使用
systemd-run时未加--scope，导致子进程脱离隔离上下文； - Landrun中误用
--ro /而未配合--rx /usr/bin/python3，导致解释器无法执行； - 所有方案均无法阻止已加载的内核模块或eBPF程序绕过隔离——若服务需加载模块，必须换用Kata等硬件虚拟化方案。
