Linux 的 unshare 命令详解

基本概念

unshare 是 Linux 系统中的一个命令行工具，用于运行程序时解除某些命名空间的共享关系。它允许进程与父进程或其他进程在指定的命名空间上"解除共享"，从而创建新的命名空间实例。

主要功能

unshare 命令的主要功能包括：

创建新的命名空间（如 PID、网络、挂载等）
在指定的命名空间中运行程序
控制进程与父进程的命名空间共享关系

常用选项

unshare 命令支持以下常用选项：

1--mount[=file]      解除挂载命名空间的共享
2--uts[=file]        解除 UTS 命名空间的共享
3--ipc[=file]        解除 IPC 命名空间的共享
4--network[=file]    解除网络命名空间的共享
5--pid[=file]        解除 PID 命名空间的共享
6--user[=file]       解除用户命名空间的共享
7--cgroup[=file]     解除 cgroup 命名空间的共享
8--time[=file]       解除时间命名空间的共享
9--fork              配合 --pid 使用时 fork 子进程
10--mount-proc        在解除 PID 命名空间共享后重新挂载 /proc
11--map-root-user     映射当前用户为命名空间中的 root
12--propagation slave|shared|private|unchanged
13                    控制挂载点的传播类型

使用示例

1. 创建新的网络命名空间

1unshare --network /bin/bash

这个命令会创建一个新的网络命名空间并启动 bash shell。在新的命名空间中，网络配置是独立的，可以配置自己的网络接口、路由等。

2. 创建新的 PID 命名空间

1unshare --pid --fork --mount-proc /bin/bash

这个命令会：

创建新的 PID 命名空间
使用 --fork 选项确保新进程成为命名空间中的 PID 1
使用 --mount-proc 重新挂载 /proc 文件系统
启动 bash shell

3. 创建完全隔离的环境

1unshare --mount --uts --ipc --network --pid --fork --mount-proc --map-root-user /bin/bash

这个命令创建了一个几乎完全隔离的环境，包括：

独立的挂载点
独立的主机名和域名
独立的 IPC
独立的网络栈
独立的 PID 空间
当前用户映射为 root

应用场景

容器技术：Docker 等容器技术底层使用 unshare 来创建隔离的命名空间
安全沙箱：运行不受信任的代码时提供隔离环境
网络测试：创建独立的网络环境进行网络配置测试
进程调试：隔离进程以便调试而不影响主机系统
文件系统实验：创建独立的挂载点进行文件系统测试

注意事项

使用 unshare 需要 root 权限或相应的 capabilities
某些命名空间选项需要内核支持
过度隔离可能导致程序无法正常工作
退出命名空间后，其中的所有进程都会被终止
使用 --map-root-user 时要注意安全风险