命名空间内桥接虚拟网络配置后ping不通的问题排查

看起来你在搭建带隔离命名空间的虚拟桥接网络时遇到了ping不通的问题，我帮你梳理下脚本里的几个关键问题，一步步解决：

核心问题：Veth主机端未加入桥接 #

你的setup_veth函数里，sudo ip link set "$1" master $br这一行被注释掉了！vhost1、vhost2作为veth对的主机端设备，必须加入br0桥才能和桥内的其他设备（tap_emu、br0本身）连通。目前这两个设备和br0完全独立，属于不同的广播域，自然无法ping通。

次要但必要的配置补充 #

1. 启用IPv4转发
   Linux默认未开启IP转发，这会导致跨命名空间、桥接设备之间的数据包无法正常转发。可以在脚本开头添加临时生效的配置：

# 临时开启IPv4转发，重启后失效
sudo sysctl -w net.ipv4.ip_forward=1

如果需要永久生效，可编辑/etc/sysctl.conf，添加net.ipv4.ip_forward=1后执行sudo sysctl -p。

2. 给命名空间内的vguest添加默认路由
   虽然你指定IP的ping命令可能暂时能用，但为了让命名空间内的设备能正常访问桥接网络的其他节点，最好在配置vguest时添加默认路由：

# 在setup_veth函数的bash命令里补充路由
sudo ip netns exec guests bash -c "ip -4 addr add $4 dev $2 ; ip link set $2 up; ip route add default via $network.1 dev $2"

3. 修正ping测试命令
   最后一行ping -c 2 -W 1 -I vhost2 "$network".24是错误的：$network.24是vguest2在guests命名空间内的地址，这个地址在主机网络栈里是不存在的。要测试vguest2的连通性，需要进入命名空间执行ping：

# 测试命名空间内vguest2到vguest1的连通性
sudo ip netns exec guests ping -c 2 -W 1 "$network".22
# 测试命名空间内vguest2到桥地址的连通性
sudo ip netns exec guests ping -c 2 -W 1 "$network".1

修正后的关键代码片段 #

修正后的setup_veth函数 #

setup_veth() {
    sudo ip link add "$1" type veth peer name "$2"
    # 把主机端veth设备加入桥接
    sudo ip link set "$1" master $br
    sudo ip -4 addr add "$3" dev "$1"
    sudo ip link set "$1" up
    sudo ip link set "$2" netns guests
    # 配置命名空间内的vguest并添加默认路由
    sudo ip netns exec guests bash -c "ip -4 addr add $4 dev $2 ; ip link set $2 up; ip route add default via $network.1 dev $2"
}

修正后的测试命令 #

ip addr show
# 测试主机vhost1到桥地址
ping -c 2 -W 1 -I vhost1 "$network".1
# 测试主机vhost2到桥地址
ping -c 2 -W 1 -I vhost2 "$network".1
# 测试命名空间内vguest2到vguest1
sudo ip netns exec guests ping -c 2 -W 1 "$network".22
# 测试命名空间内vguest2到自身地址（验证配置）
sudo ip netns exec guests ping -c 2 -W 1 "$network".24

按照上面的修改调整脚本后，应该就能正常ping通了。

备注：内容来源于stack exchange，提问作者ice