Podman 网络配置：SandboxKey 与 Networks 详解

一、基本概念

1. .NetworkSettings.SandboxKey

含义：网络命名空间的路径

作用：

• 指向容器网络命名空间在宿主机上的文件路径
• 通常类似于：/var/run/netns/cni-xxxxxxxx 或 /proc/{pid}/ns/net
• 表示容器隔离的网络环境

用途：

• 用于调试网络隔离
• 可以使用 nsenter 进入该命名空间进行网络诊断
• 验证容器网络隔离是否正确

2. .NetworkSettings.Networks

含义：容器连接的网络配置详情

作用：

• 一个 map/dictionary 结构，包含容器连接的所有网络信息
• 每个网络包含：IP地址、MAC地址、网关、DNS等配置
• 如果容器连接多个网络（如 bridge、macvlan、自定义网络），这里会显示所有

示例输出：

{
  "podman": {
    "IPAddress": "10.89.0.2",
    "MacAddress": "02:42:0a:59:00:02",
    "Gateway": "10.89.0.1",
    "DNSNames": ["nocodb"]
  }
}

二、主要区别对比

三、关系说明

可以把它们理解为：

• SandboxKey：容器的"网络房间号"（物理位置）
• Networks：容器的"网络配置清单"（IP地址、连接的网络等）

关键点：

• 一个容器有且仅有一个网络命名空间（SandboxKey）
• 一个容器可以连接到多个网络（Networks 中的多个条目）

四、SandboxKey 与 Networks 的关系

关系矩阵总结

各字段与网络互通的关系

核心结论

当两个容器共享同一个网络命名空间时（SandboxKey 相同），它们的 Networks 配置可能相同，也可能不同。

共享场景

场景1：Pod 内的容器

# 创建一个 Pod
podman pod create --name mypod

# 在 Pod 中运行两个容器
podman run -d --pod mypod --name container1 nginx
podman run -d --pod mypod --name container2 redis

# SandboxKey 相同
podman inspect container1 --format='{{.NetworkSettings.SandboxKey}}'
podman inspect container2 --format='{{.NetworkSettings.SandboxKey}}'
# 输出相同：/run/netns/cni-xxxxxxxx

场景2：共享网络命名空间

# 创建第一个容器
podman run -d --name container1 nginx

# 第二个容器共享第一个的网络命名空间
podman run -d --net=container:container1 --name container2 redis

# SandboxKey 相同
podman inspect container1 --format='{{.NetworkSettings.SandboxKey}}'
podman inspect container2 --format='{{.NetworkSettings.SandboxKey}}'
# 输出相同

为什么 Networks 可能不同？

即使 SandboxKey 相同（共享网络命名空间），Networks 配置仍可能存在差异：

1. 网络别名（DNS Names）

   • 每个容器可能有不同的 DNS 名称
   • 即使在同一网络命名空间，容器名会作为 DNS 别名

2. 端口映射

   • 每个容器可能有不同的端口映射配置
   • 虽然共享 IP，但端口映射是容器级别的

3. 网络接口配置

   • 虽然共享相同的网络接口，但每个容器的配置视图可能略有不同
   • 某些元数据（如容器ID）会体现在配置中

4. 网络配置可以独立设置
   即使在不同的网络命名空间中，管理员可以手动为容器配置相同的：

   • IP 地址（虽然可能导致冲突）
   • 网络名称
   • MAC 地址
   • 网关等参数

5. 网络配置是上层抽象

   • Networks 展示的是容器应该使用的网络配置
   • SandboxKey 是底层实现，表示容器实际隔离的网络环境
   • 上层配置可以相同，但底层隔离必然不同（除非显式共享）

6. 容器网络的独立性
   默认情况下，每个容器：

   • 拥有独立的网络命名空间（不同的 SandboxKey）
   • 可以从相同的网络池中分配 IP 地址
   • 导致 Networks 配置可能相同（IP 相同是冲突的，但理论上可能）

五、实际验证示例

完整测试脚本

# 创建测试环境
podman pod create --name testpod
podman run -d --pod testpod --name test1 nginx
podman run -d --pod testpod --name test2 alpine sleep 3600

# 验证 SandboxKey
echo "Container1 SandboxKey:"
podman inspect test1 --format='{{.NetworkSettings.SandboxKey}}'

echo "Container2 SandboxKey:"
podman inspect test2 --format='{{.NetworkSettings.SandboxKey}}'

# 验证 Networks 结构
echo "Container1 Networks:"
podman inspect test1 --format='{{.NetworkSettings.Networks}}'

echo "Container2 Networks:"
podman inspect test2 --format='{{.NetworkSettings.Networks}}'

# 比较 IP 地址（通常相同）
echo "Container1 IP:"
podman inspect test1 --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}'

echo "Container2 IP:"
podman inspect test2 --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}'

常用查看命令

# 查看 SandboxKey
podman inspect <container> --format='{{.NetworkSettings.SandboxKey}}'

# 查看 Networks（网络配置）
podman inspect <container> --format='{{.NetworkSettings.Networks}}'

# 查看具体网络中的IP地址
podman inspect <container> --format='{{(index .NetworkSettings.Networks "podman").IPAddress}}'

# 查看所有容器的网络信息
podman ps -a --format "table {{.Names}}\t{{.Networks}}"

六、总结

关键要点

• SandboxKey 相同：说明容器共享同一个网络命名空间（网络环境隔离层相同）
• Networks 可能相同也可能不同：取决于具体配置，特别是 DNS 名称、端口映射等元数据
• IP 地址通常相同：因为在同一个网络命名空间中，网络接口和 IP 是共享的

准确表述

SandboxKey 相同是 Networks 内容可能相同的前提条件，但不是充分条件。

实际应用

• 调试网络问题时，可以通过 SandboxKey 定位网络命名空间
• 查看容器网络配置时，使用 Networks 获取 IP、DNS 等详细信息
• 在 Pod 或多容器共享网络的场景中，注意区分哪些配置是共享的，哪些是容器独立的