Espacios de nombres de Linux

Los espacios de nombres de montaje, los primeros que se añadieron a Linux, controlan los puntos de montaje . Proporcionan a un proceso una vista aislada de la jerarquía del sistema de archivos. Al crearse, los puntos de montaje del espacio de nombres de montaje actual se copian inicialmente al nuevo espacio de nombres. Sin embargo, los puntos de montaje creados o desmontados posteriormente no se propagan entre espacios de nombres de forma predeterminada.

Utilizando la función de subárboles compartidos de Linux, es posible configurar puntos de montaje específicos para propagar eventos (como el montaje de una unidad USB) entre el host y el contenedor, o viceversa. ^{[ 10 ]} La bandera de clonación utilizada para crear un nuevo espacio de nombres de este tipo es CLONE_NEWNS.

El espacio de nombres PID proporciona a los procesos un conjunto independiente de identificadores de proceso (PID). Los espacios de nombres PID están estrictamente anidados. Cuando se crea un nuevo proceso dentro de un nuevo espacio de nombres PID, tendrá un PID distinto para cada espacio de nombres, desde el actual hasta el PID inicial (raíz). Por lo tanto, los procesos en el PID inicial (al igual que el sistema operativo anfitrión) pueden ver todos los procesos en todos los contenedores, aunque con PID diferentes a los que se ven dentro de los contenedores.

Al primer proceso creado en un espacio de nombres PID se le asigna el ID de proceso 1. Recibe un trato especial similar al del proceso init normal del sistema anfitrión . En particular, cualquier proceso huérfano dentro del espacio de nombres se reasigna automáticamente a este proceso PID 1. Si este proceso PID 1 finaliza, el kernel terminará inmediatamente todos los demás procesos dentro de ese espacio de nombres PID y cualquiera de sus descendientes enviándoles una SIGKILLseñal. ^{[ 11 ]}

Los espacios de nombres de red virtualizan la pila de red . Al crearse, un nuevo espacio de nombres de red contiene únicamente una interfaz de bucle invertido ( lo), que inicialmente está desactivada. Cada interfaz de red, ya sea física o virtual, solo puede estar presente en un único espacio de nombres de red a la vez, pero un administrador puede mover activamente las interfaces entre espacios de nombres.

Cada espacio de nombres de red mantiene un conjunto privado de direcciones IP , su propia tabla de enrutamiento , listado de sockets , tabla de seguimiento de conexiones, reglas de firewall (como iptables o nftables ) y otros recursos relacionados con la red. ^{[ 5 ]} Para otorgar conectividad de red a un contenedor, los administradores suelen crear un par de Ethernet virtual ( veth), colocando un extremo en el espacio de nombres del host y el otro dentro del espacio de nombres de red del contenedor, y luego conectan el extremo del host a una red física. Al destruir un espacio de nombres de red, se destruyen automáticamente todas las interfaces virtuales dentro de él y se mueven todas las interfaces físicas de vuelta al espacio de nombres de red inicial.

Los espacios de nombres IPC aíslan los procesos de los mecanismos de comunicación entre procesos de estilo SysV , así como de las colas de mensajes POSIX . Esto impide que los procesos en diferentes espacios de nombres IPC interactúen entre sí utilizando identificadores IPC comunes. Por ejemplo, dos procesos en diferentes espacios de nombres pueden usar el mismo identificador de segmento de memoria compartida para asignar memoria mediante la familia de funciones SHM, y el kernel garantizará que se les proporcionen dos regiones de memoria compartida distintas y completamente aisladas.

Los espacios de nombres UTS aíslan dos identificadores del sistema: el nombre de host y el nombre de dominio NIS . El nombre "UTS" proviene de la estructura de datos que se pasa a la unamellamada al sistema, que históricamente significa Sistema de Tiempo Compartido UNIX . Cuando un proceso crea un nuevo espacio de nombres UTS, el nombre de host y el nombre de dominio se copian del espacio de nombres del proceso que realiza la llamada. Los procesos dentro del nuevo espacio de nombres pueden entonces cambiar su nombre de host sin afectar a la máquina host ni a otros contenedores. ^{[ 12 ]}

Los espacios de nombres de usuario son una característica de seguridad fundamental diseñada para proporcionar aislamiento de privilegios y segregación de la identificación de usuarios en múltiples conjuntos de procesos. Introducidos por completo en el kernel 3.8, son la base de los contenedores sin privilegios. Al igual que los espacios de nombres PID, los espacios de nombres de usuario están anidados, y cada nuevo espacio de nombres se considera hijo del que lo creó.

Un espacio de nombres de usuario mantiene una tabla de asignación que convierte los ID de usuario (UID) y los ID de grupo (GID) desde la perspectiva interna del contenedor a la perspectiva global del sistema anfitrión. Esto permite que un proceso posea privilegios de root (UID 0) dentro del contenedor, pero se asigne matemáticamente a un ID de usuario restringido y sin privilegios (por ejemplo, UID 100000) en la máquina anfitriona subyacente. ^{[ 13 ]} Si una vulnerabilidad permite que el proceso "root" del contenedor salga del espacio de nombres, el sistema anfitrión lo seguirá tratando como el ID de usuario restringido, lo que limita considerablemente el daño potencial.

El espacio de nombres cgroup oculta la identidad de la jerarquía del grupo de control al que pertenece un proceso. Antes de que existiera este espacio de nombres, un proceso dentro de un contenedor podía inspeccionar /proc/self/cgroupy ver toda la ruta de su cgroup en relación con el sistema anfitrión (por ejemplo, /sys/fs/cgroup/memory/docker/container_id).

Al virtualizar la vista del sistema de archivos cgroup, un proceso dentro de un espacio de nombres cgroup verá su propio directorio cgroup como la raíz ( /). Esto evita fugas de información sobre la infraestructura subyacente del host y permite que las herramientas de orquestación de contenedores migren contenedores sin problemas entre nodos sin rutas cgroup conflictivas. Este tipo de espacio de nombres existe desde marzo de 2016 en Linux 4.6. ^{[ 14 ]}

El espacio de nombres de tiempo permite que los procesos observen diferentes horas del sistema. Se introdujo en Linux 5.6 en marzo de 2020. Específicamente, aísla dos relojes del kernel específicos: CLOCK_MONOTONICy CLOCK_BOOTTIME.

Cuando un contenedor se migra de un host físico a otro o se restaura a partir de una instantánea, el tiempo de actividad del sistema y los valores del reloj monotónico del nuevo host diferirán naturalmente de los del anterior. El espacio de nombres de tiempo permite que el entorno de ejecución del contenedor establezca desfases de reloj, lo que garantiza que las aplicaciones dentro del contenedor no experimenten saltos de tiempo repentinos e inoportunos.

El kernel expone las asociaciones de espacio de nombres de cada proceso en ejecución en la ruta . Al igual que muchos recursos que no son archivos en , estas entradas se manifiestan como enlaces simbólicos especiales. La lectura del enlace produce una cadena con el formato ./proc/pid/ns/kind/prockind:[inode_number]

Estos números de inodo se corresponden uno a uno con objetos de espacio de nombres únicos en la memoria del kernel. Si dos procesos muestran el mismo número de inodo para un tipo de espacio de nombres específico (por ejemplo, net:[4026531969]), comparten ese espacio de nombres.

A partir de Linux 6.1.0, la kindcadena puede ser cualquiera de cgroup, ipc, mnt, net, pid, time, user, o uts. Además, para los espacios de nombres donde los procesos hijos pueden heredar rasgos diferentes a los del padre mismo (como PID o espacios de nombres de usuario), el kernel proporciona enlaces./proc/pid/ns/kind_for_children

Cuatro llamadas al sistema principales manipulan directamente los espacios de nombres:

• clone: Se utiliza para iniciar un nuevo proceso. Al pasar indicadores específicos (como CLONE_NEWPIDo CLONE_NEWNET), el kernel creará los nuevos espacios de nombres especificados y colocará el proceso hijo dentro de ellos.
• unshare: Permite que un proceso se disocie de partes de su contexto de ejecución respecto de su proceso padre, moviendo efectivamente el proceso que realiza la llamada a un espacio de nombres completamente nuevo.
• setns: Permite que un proceso en ejecución ingrese a un espacio de nombres ya existente. Requiere un descriptor de archivo que apunte a uno de los enlaces simbólicos del espacio de nombres en /proc.
• ioctl: Se utiliza con solicitudes de espacio de nombres específicas (como NS_GET_PARENTo NS_GET_USERNS) para descubrir las relaciones jerárquicas entre diferentes espacios de nombres.

Si un espacio de nombres deja de ser referenciado por cualquier parte del sistema, el núcleo lo destruirá automáticamente. El proceso de limpieza de los recursos contenidos varía según el tipo de espacio de nombres. Un espacio de nombres se considera referenciado activamente y se mantiene activo mientras se cumpla alguna de las siguientes condiciones:

• Contiene al menos un proceso miembro vivo.
• Tiene al menos un espacio de nombres secundario referenciado (para tipos anidados como PID y User).
• Su archivo virtual ( ) se mantiene abierto actualmente mediante un descriptor de archivo ./proc/pid/ns/kind
• Sirve de base para un montaje de enlace creado en el sistema de archivos (una técnica común utilizada por herramientas de red para iproute2mantener activos los espacios de nombres de red sin procesos en ejecución).