unshare 系统调用及示例

好的，我们来深入学习 unshare 系统调用

1. 函数介绍

在 Linux 系统中，命名空间 (Namespaces) 是内核提供的一种强大的隔离机制。它允许将一组进程及其资源（如网络接口、挂载点、进程 ID 等）与系统上的其他进程隔离开来，仿佛它们运行在独立的系统中一样。这是实现 容器 (Containers) 技术（如 Docker, LXC）的核心基础之一。

通常，当我们使用 clone() 系统调用创建新进程时，可以通过传递特定的 CLONE_NEW* 标志（如 CLONE_NEWNET, CLONE_NEWNS），让新进程在全新的命名空间中启动。

但是，有时候我们希望当前正在运行的进程能够脱离它当前所处的某个命名空间，并进入一个新创建的、空的同类型命名空间。这正是 unshare 系统调用所做的事情。

简单来说，unshare 就是让一个正在运行的进程说：“我不想和别人共享我的 [网络/文件系统/用户ID空间] 了，给我一个全新的、只属于我自己的！”

想象一下，你在一个大办公室（原始命名空间）里工作，突然你想拥有一个完全私密的、只有你一个人的小房间（新命名空间）来处理一些敏感任务。unshare 就像是帮你瞬间建造并搬进这个小房间的过程。

2. 函数原型

#define _GNU_SOURCE // 启用 GNU 扩展以使用 unshare
#include <sched.h>  // 包含 unshare 函数声明和 CLONE_NEW* 常量

int unshare(int flags);

3. 功能

使调用线程（进程）脱离当前由 flags 参数指定的一个或多个命名空间，并使该线程进入新创建的、空的同类型命名空间。

4. 参数

• flags:
  • int 类型。
  • 一个位掩码，指定了调用进程希望脱离并重新加入的命名空间类型。可以是以下一个或多个标志的按位或 (|) 组合：
    • CLONE_NEWCGROUP: 创建新的 Cgroup 命名空间。
    • CLONE_NEWIPC: 创建新的 IPC (Inter-Process Communication) 命名空间。
    • CLONE_NEWNET: 创建新的 Network 命名空间。
    • CLONE_NEWNS: 创建新的 Mount 命名空间。
    • CLONE_NEWPID: 创建新的 PID (Process ID) 命名空间。
    • CLONE_NEWUSER: 创建新的 User 命名空间。
    • CLONE_NEWUTS: 创建新的 UTS (UNIX Timesharing System) 命名空间。

重要提示：

• unshare 只影响调用线程本身。如果进程是多线程的，其他线程仍然留在原来的命名空间中。
• 新创建的命名空间是空的。例如，新的 Network 命名空间只有 lo (回环) 接口；新的 PID 命名空间中调用进程将成为 PID 1。
• 权限和限制：创建某些命名空间（尤其是 CLONE_NEWUSER）可能需要特殊权限或遵循复杂的规则。

5. 返回值

• 成功: 返回 0。
• 失败: 返回 -1，并设置全局变量 errno 来指示具体的错误原因。

6. 错误码 (errno)

• EFAULT: flags 中指定的地址无效（不太常见）。
• EINVAL: flags 包含无效或不支持的标志，或者尝试同时 unshare CLONE_NEWPID 和其他需要特权的命名空间。
• ENOMEM: 内核内存不足。
• EPERM: 调用者没有权限创建请求的命名空间。例如：
  • 创建 CLONE_NEWUSER 命名空间通常需要进程没有被其他进程跟踪（ptrace）。
  • 创建 CLONE_NEWPID 通常需要进程是多线程的，或者有其他限制。
• EUSERS: (对于 CLONE_NEWUSER) 达到了每个用户命名空间的最大所有者数量限制。
• ENOSPC: (对于 CLONE_NEWPID) 达到了系统范围内的最大嵌套 PID 命名空间层级限制。

7. 相似函数或关联函数

• clone: 创建新进程时，可以通过 CLONE_NEW* 标志使其在新的命名空间中启动。
• setns: 将调用进程加入一个已存在的命名空间。
• /proc/[pid]/ns/: 这个目录包含了进程所处的各种命名空间的符号链接文件。通过打开这些文件可以获得命名空间的文件描述符。
• unshare 命令: 一个命令行工具，可以在取消共享指定的命名空间后执行命令。它在底层使用了 unshare() 系统调用。
• namespace 相关系统调用: clone, setns, unshare 共同构成了 Linux 命名空间操作的基础。

8. 示例代码

下面的示例演示了如何使用 unshare 来隔离网络和挂载命名空间。

警告：此示例需要 root 权限来执行某些操作（如挂载文件系统）。

#define _GNU_SOURCE
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sched.h>    // 包含 unshare, CLONE_NEW* 常量
#include <sys/mount.h> // 包含 mount
#include <sys/stat.h>  // 包含 mkdir
#include <sys/wait.h>  // 包含 waitpid
#include <errno.h>
#include <string.h>
#include <fcntl.h>    // 包含 open, O_* flags

void print_current_namespaces() {
    char buffer[256];
    pid_t pid = getpid();

    printf("Current namespaces for PID %d:\n", pid);
    // 读取并打印网络命名空间 inode
    ssize_t len = readlink("/proc/self/ns/net", buffer, sizeof(buffer) - 1);
    if (len != -1) {
        buffer[len] = '\0';
        printf("  Network: %s\n", buffer);
    } else {
        perror("  readlink /proc/self/ns/net");
    }

    // 读取并打印挂载命名空间 inode
    len = readlink("/proc/self/ns/mnt", buffer, sizeof(buffer) - 1);
    if (len != -1) {
        buffer[len] = '\0';
        printf("  Mount:   %s\n", buffer);
    } else {
        perror("  readlink /proc/self/ns/mnt");
    }
    printf("\n");
}

int main() {
    printf("--- Demonstrating unshare ---\n");
    printf("Main process PID: %d\n", getpid());

    // 1. 显示初始命名空间
    printf("1. Initial namespaces:\n");
    print_current_namespaces();

    // 2. 使用 unshare 脱离当前的 Network 和 Mount 命名空间
    printf("2. Calling unshare(CLONE_NEWNET | CLONE_NEWNS)...\n");
    if (unshare(CLONE_NEWNET | CLONE_NEWNS) == -1) {
        perror("unshare");
        fprintf(stderr, "Do you have root privileges?\n");
        exit(EXIT_FAILURE);
    }
    printf("unshare() succeeded.\n");

    // 3. 再次显示命名空间，应该已经改变
    printf("3. Namespaces after unshare:\n");
    print_current_namespaces();

    // 4. 在新的 Network 命名空间中，网络接口视图是隔离的
    printf("4. --- Network Isolation ---\n");
    printf("Running 'ip link show' in new network namespace:\n");
    // 使用 system 调用执行命令来查看网络接口
    int ret = system("ip link show");
    if (ret == -1) {
        perror("system ip link");
    }
    printf("Note: You should only see the 'lo' (loopback) interface.\n");
    printf("\n");

    // 5. 在新的 Mount 命名空间中，挂载操作是隔离的
    printf("5. --- Mount Isolation ---\n");
    const char *mount_point = "/tmp/unshare_test_mount";
    if (mkdir(mount_point, 0755) == -1 && errno != EEXIST) {
        perror("mkdir mount point");
    } else {
        printf("Created directory %s\n", mount_point);
    }

    if (mount("tmpfs", mount_point, "tmpfs", 0, NULL) == -1) {
        perror("mount tmpfs");
    } else {
        printf("Mounted tmpfs on %s\n", mount_point);
        printf("This mount is only visible inside this process's mount namespace.\n");
    }

    // 6. 演示挂载隔离：在新的命名空间中创建一个文件
    char test_file_path[256];
    snprintf(test_file_path, sizeof(test_file_path), "%s/test_file.txt", mount_point);
    FILE *f = fopen(test_file_path, "w");
    if (f) {
        fprintf(f, "Hello from process in its own mount namespace!\n");
        fclose(f);
        printf("Created file %s\n", test_file_path);
    } else {
        perror("fopen test_file.txt");
    }

    printf("\n--- Summary ---\n");
    printf("1. The main process called unshare() to get new, isolated Network and Mount namespaces.\n");
    printf("2. Network namespace: 'ip link show' only displays the loopback interface.\n");
    printf("3. Mount namespace: A tmpfs mounted on %s is private to this process.\n", mount_point);
    printf("4. If you run 'mount' or 'ip link show' in another terminal (outside this process),\n");
    printf("   you will see the global network interfaces and mounts, not these isolated ones.\n");

    // 7. 清理 (可选，因为退出时会自动清理命名空间)
    // umount(mount_point);
    // rmdir(mount_point);

    printf("\nProgram finished. The isolated namespaces cease to exist when this process exits.\n");
    return 0;
}

9. 使用 unshare 命令行工具的对比示例

unshare 命令行工具是用户更常接触到的使用 unshare 系统调用的方式。

# 1. 在当前 shell 中取消共享网络命名空间，并运行一个命令
# 这会启动一个新的 shell，它在网络和挂载上都是隔离的
unshare -n -m /bin/bash

# (你现在在一个新的 shell 中，提示符可能略有不同)
# $ ip link show
# 1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
#     link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
# (只有 lo 接口)

# $ mount -t tmpfs tmpfs /tmp/isolated_tmp
# $ mount | grep isolated_tmp
# tmpfs on /tmp/isolated_tmp type tmpfs (rw,relatime)
# (这个挂载只在这个 unshare 的会话中可见)

# $ exit
# (退出隔离的 shell)

# 2. 回到原 shell，检查隔离效果
# $ ip link show
# (你会看到所有正常的网络接口，如 eth0, wlan0 等)
# $ mount | grep isolated_tmp
# (应该找不到这个挂载点)

10. 编译和运行

# 假设代码保存在 unshare_example.c 中
gcc -o unshare_example unshare_example.c

# 运行程序 (需要 root 权限)
sudo ./unshare_example

11. 预期输出

--- Demonstrating unshare ---
Main process PID: 12345
1. Initial namespaces:
Current namespaces for PID 12345:
  Network: net:[4026531992]
  Mount:   mnt:[4026531991]

2. Calling unshare(CLONE_NEWNET | CLONE_NEWNS)...
unshare() succeeded.
3. Namespaces after unshare:
Current namespaces for PID 12345:
  Network: net:[4026532222]  <-- Changed
  Mount:   mnt:[4026532223]  <-- Changed

4. --- Network Isolation ---
Running 'ip link show' in new network namespace:
1: lo: <LOOPBACK> mtu 65536 qdisc noop state DOWN mode DEFAULT group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
Note: You should only see the 'lo' (loopback) interface.

5. --- Mount Isolation ---
Created directory /tmp/unshare_test_mount
Mounted tmpfs on /tmp/unshare_test_mount
This mount is only visible inside this process's mount namespace.
Created file /tmp/unshare_test_mount/test_file.txt

--- Summary ---
1. The main process called unshare() to get new, isolated Network and Mount namespaces.
2. Network namespace: 'ip link show' only displays the loopback interface.
3. Mount namespace: A tmpfs mounted on /tmp/unshare_test_mount is private to this process.
4. If you run 'mount' or 'ip link show' in another terminal (outside this process),
   you will see the global network interfaces and mounts, not these isolated ones.

Program finished. The isolated namespaces cease to exist when this process exits.

12. 总结

unshare 是 Linux 命名空间功能的关键系统调用之一。

• 核心作用：让当前运行的进程脱离现有的命名空间，并加入新创建的、空的同类型命名空间。
• 与 clone 和 setns 的区别：
  • clone: 创建新进程时分配新命名空间。
  • setns: 加入一个已存在的命名空间。
  • unshare: 为当前进程创建并加入新的命名空间。
• 应用场景：
  • 容器技术：容器运行时使用 unshare 来为容器进程提供隔离环境。
  • 系统管理脚本：在执行可能影响全局环境的操作前，先 unshare 进入隔离环境，避免影响宿主机。
  • 安全沙箱：为不受信任的程序创建隔离的运行环境。
• 权限：通常需要 root 权限，特别是涉及挂载、网络等操作时。

理解 unshare 有助于深入理解 Linux 容器和进程隔离的原理。对于 Linux 编程新手来说，它是掌握现代 Linux 系统编程和容器化技术的重要一环。