探究ip link set v-ethn netns <target-namespace>的系统调用层面工作机制

当你在Linux中执行ip link set dev <veth-name> netns <ns-name>这类命令时，底层完全基于**Netlink（具体是RTnetlink子系统）**实现，而非传统的ioctl——这也是你查不到对应ioctl选项的原因，网络命名空间是较新的特性，全程基于Netlink体系实现。

下面是具体的系统调用层面流程：

1. 获取目标网络命名空间的文件描述符 #

首先需要打开目标命名空间的标识文件，拿到一个能被内核识别的fd：

• 若通过命名空间名称操作，打开/run/netns/<ns-name>（需先用ip netns add创建，该目录下的文件是绑定挂载的命名空间节点）；
• 若通过进程PID操作，打开/proc/<pid>/ns/net；
• 系统调用用open()，示例代码：

  int target_ns_fd = open("/run/netns/myns", O_RDONLY | O_CLOEXEC);
  

2. 构造RTnetlink消息 #

核心是构造RTM_NEWLINK类型的Netlink消息，通知内核修改veth接口的属性——关键是指定IFLA_NET_NS_FD属性，把目标ns的fd传递给内核：

• 消息结构层级：struct nlmsghdr（Netlink消息头） → struct ifinfomsg（接口信息头） → struct rtattr（属性项，类型为IFLA_NET_NS_FD）；
• ifinfomsg里的ifi_index要设置为待迁移veth的接口索引（可通过getifaddrs()或RTnetlink查询获取）；
• 因为要传递文件描述符给内核，还需构造SCM_RIGHTS类型的控制消息（辅助数据），把target_ns_fd打包进去——Netlink消息本身的IFLA_NET_NS_FD字段通常设为0，内核会自动映射控制消息里的真实fd。

3. 发送Netlink消息到内核 #

• 先通过socket()创建Netlink套接字：

  int nl_sock = socket(AF_NETLINK, SOCK_RAW, NETLINK_ROUTE);
  

• 用sendmsg()发送构造好的消息（因为要带控制消息，不能用send()或sendto()），消息中需设置NLM_F_REQUEST | NLM_F_ACK标志，确保内核返回处理结果。

4. 内核侧处理逻辑 #

内核收到消息后：

• 检查调用者是否拥有CAP_NET_ADMIN权限；
• 通过ifi_index找到对应的veth设备结构体；
• 利用传入的fd获取目标网络命名空间的struct net实例；
• 调用内核函数dev_change_net_namespace()完成迁移：移除veth在原命名空间的网络栈关联，添加到目标命名空间，同步更新接口索引、路由表等相关资源；
• 注意：veth是成对存在的，迁移其中一端不会影响另一端，需单独操作另一端的迁移。

关于iproute2源码的提示 #

如果你想继续啃iproute2的代码，重点看这几个部分：

• ip/link.c中的do_setlink()函数：处理ip link set命令的核心逻辑；
• libnetlink.c中的rtnl_talk()和addattr_l()：负责构造Netlink消息和属性；
• 传递fd的逻辑在libnetlink.c的rtnl_sendmsg()里，通过添加cmsghdr控制消息实现。

内容的提问来源于stack exchange，提问作者Kristoffer Semelka