Probar una red aislada con ip netns sin cambiar la interfaz del servidor

Cree dos hosts Linux temporales conectados por un cable virtual, prueba su tráfico y luego bórralos sin modificar la interfaz de red de tu servidor.

Debes probar una ruta, una dirección o un servicio, pero la tarjeta que lleva tu sesión SSH no es el lugar para improvisar. Con ip netns, Linux puede crear espacios de red separados en la misma máquina. Cada espacio tiene sus interfaces, sus direcciones y su tabla de enrutamiento.

El siguiente método utiliza una VM de laboratorio con una consola. Vas a conectar dos espacios mediante un par veth, verificar el ping entre ellos y luego eliminar el montaje. No mueve ninguna interfaz física y no afecta las reglas de red de producción.

Verificar el host antes de crear el laboratorio

Comienza por revisar las interfaces y la ruta utilizada por tu máquina. Presta especial atención a la interfaz que lleva tu acceso SSH. La guía ip addr en Linux ayuda a revisar esta información antes de una modificación de red.

ip -brief link
ip -brief addr
ip route
ip route get 1.1.1.1

Elige dos direcciones de documentación que no se usen en tu red. Aquí, 192.0.2.1/24 y 192.0.2.2/24 se mantienen confinadas al par virtual. También verifica los espacios ya presentes:

sudo ip netns list

No reutilices un nombre mostrado por este comando. En una máquina remota sin consola, guardaría esta prueba para una VM. El comando es reversible, pero un error de destino o un script lanzado con nombres demasiado genéricos es evitable.

Crear dos hosts virtuales conectados por un veth

Una interfaz veth funciona por pares. Un paquete enviado desde un extremo llega al otro, como con un cable Ethernet corto. Los dos extremos luego se unirán a espacios diferentes.

sudo ip netns add lab-a
sudo ip netns add lab-b

sudo ip link add veth-a type veth peer name veth-b
sudo ip link set veth-a netns lab-a
sudo ip link set veth-b netns lab-b

Un espacio de nombres comienza con su interfaz de loopback desactivada. Actívala, asigna las dos direcciones de prueba y luego monta las interfaces virtuales:

sudo ip -n lab-a link set lo up
sudo ip -n lab-b link set lo up

sudo ip -n lab-a addr add 192.0.2.1/24 dev veth-a
sudo ip -n lab-b addr add 192.0.2.2/24 dev veth-b
sudo ip -n lab-a link set veth-a up
sudo ip -n lab-b link set veth-b up

Cada comando ip -n <nombre> actúa en el espacio solicitado. Puedes obtener el mismo resultado con ip netns exec lab-a ..., una forma conveniente de lanzar un cliente DNS, curl o un servidor de prueba sin salir de tu shell habitual.

Leer las interfaces y verificar el tráfico aislado

Antes del ping, revisa el estado real desde cada lado. Esta salida debe mostrar una única interfaz veth con la dirección prevista, además de lo.

sudo ip -n lab-a addr show
sudo ip -n lab-b addr show
sudo ip -n lab-a route
sudo ip -n lab-b route
sudo ip netns exec lab-a ping -c 3 192.0.2.2

Un ping que responde prueba que el par está activo y que los dos espacios pueden acceder a la subred de prueba. No prueba que un firewall, un DNS o una aplicación de producción estén funcionando. Para verificar la ruta de un host real, utiliza mejor ip route en la máquina concernida.

Ahora puedes añadir una ruta, probar una regla nftables o iniciar un pequeño servicio en lab-b. Mantén el perímetro reducido. Un namespace es muy bueno para aislar una experiencia de red, no para replicar un clúster completo.

Eliminar el laboratorio y elegir la correcta aislamiento

La eliminación de un espacio también elimina sus interfaces y su configuración de red. Revisa primero los nombres y luego elimina los dos laboratorios:

sudo ip netns list
sudo ip netns del lab-a
sudo ip netns del lab-b
sudo ip netns list

Los nombres lab-a y lab-b ya no deben aparecer en el último comando. Si la prueba debe unirse a un switch, un VLAN real o hardware diferente, elige una VM, un contenedor conectado a la red prevista o un entorno de pruebas. Para una modificación de dirección persistente en Ubuntu, el control con netplan try es más adecuado.

ip netns es mi primera elección para validar una ruta local antes de tocar la red de un servidor. Su límite es claro: aísla la pila de red, no el núcleo, el disco ni los servicios compartidos del host.

La sintaxis completa de ip-netns(8) detalla los subcomandos disponibles y el comportamiento de ip netns exec.