![如何允许网络命名空间中的应用程序访问全局文件系统?](https://linux22.com/image/656863/%E5%A6%82%E4%BD%95%E5%85%81%E8%AE%B8%E7%BD%91%E7%BB%9C%E5%91%BD%E5%90%8D%E7%A9%BA%E9%97%B4%E4%B8%AD%E7%9A%84%E5%BA%94%E7%94%A8%E7%A8%8B%E5%BA%8F%E8%AE%BF%E9%97%AE%E5%85%A8%E5%B1%80%E6%96%87%E4%BB%B6%E7%B3%BB%E7%BB%9F%EF%BC%9F.png)
我有几个应用程序具有潜在的高风险和高吞吐量(如 bind、ntpd 等)。我计划为操作系统任务、更新、SNMP、自动化等设置一个“管理域”,以及一个仅包含我提供服务的守护进程的“服务域”。
我已经成功地为它们创建了网络命名空间,分配了专用 IP 地址、离散路由等。我希望能够使用 IPtables 记录影响命名空间内守护进程的某些行为(请求对 dns 进行递归查找的唯一设备等),但我无法让 IPtables 中的“LOG”目标工作。我尝试在 ns 内运行 syslog 守护进程,但仍然不起作用。它可能想要写入全局文件系统但未获得许可。我对命名空间还不太熟悉,所以任何想法都值得赞赏。