Linux容器隔离依赖namespace机制，其支持情况随内核版本演进：mount/uts/ipc namespace始于2.6.19，pid为2.6.24，net为2.6.29，user为3.8（默认启用自3.12），time为5.6；生产环境建议最低内核3.10，rootless需3.12+，cgroup v2推荐4.15+，time namespace需5.6+且CONFIG_TIME_NS=y。
Namespace 是 Linux 实现容器隔离的核心机制，其功能随内核版本持续增强。不同 namespace 类型的引入时间、默认启用状态及依赖特性（如 user namespace 的特权控制）均与内核版本强相关。使用时需明确目标内核最低支持版本，避免因缺失或未启用某类 namespace 导致容器启动失败或隔离不完整。
核心 namespace 类型及其内核引入时间
Linux 从 2.6.19 开始逐步引入各类 namespace，各类型并非同步支持：
- Mount namespace：最早于 2.4.19（实验性），2.6.19 正式合入，支持文件系统挂载点隔离；
- UTS namespace：2.6.19，隔离 hostname 和 domainname；
- IPC namespace：2.6.19，隔离 System V IPC 和 POSIX 消息队列；
- PID namespace：2.6.24，实现进程 ID 空间独立，init 进程（PID 1）在子 namespace 中可见；
- Network namespace：2.6.29，提供独立网络协议栈、接口、路由表等；
- User namespace：3.8 引入，但默认禁用（需 boot 参数 user_namespace.enable=1）；3.12 起默认启用，是实现非 root 用户运行容器的关键；
- Time namespace：5.6 新增，支持 clock_settime() 隔离，用于测试和调试时间敏感应用。
生产环境推荐的最小内核版本
现代容器运行时（如 containerd、runc）和 Kubernetes 对 namespace 功能有综合要求。为保障兼容性与安全性，建议：
- 基础容器运行：不低于 Linux 3.10（RHEL/CentOS 7 默认内核），已完整支持 mount/uts/ipc/pid/net/user namespace；
- 启用 user namespace 安全加固（如 rootless 容器）：需 3.12+，且确认 /proc/sys/user/max_user_namespaces > 0；
- 使用 cgroup v2 + full namespace 隔离（如 systemd 作为 init）：建议 4.15+，避免早期 PID namespace 与 cgroup v2 的协作问题；
- 需要 time namespace 或 unshare(CLONE_NEWTIME)：必须 5.6+，且需开启 CONFIG_TIME_NS=y 编译选项。
验证当前内核 namespace 支持能力
仅查看内核版本不足以判断实际可用性，还需检查编译配置与运行时开关：
- 确认编译选项：执行 zcat /proc/config.gz | grep -i "namespace"（若启用 CONFIG_IKCONFIG_PROC）；
- 检查 user namespace 是否启用：cat /proc/sys/user/max_user_namespaces，输出大于 0 表示可用；
- 测试创建能力：运行 unshare --user --pid --fork --mount-proc /bin/sh，成功进入隔离 shell 即表明核心 namespace 可用；
- 注意发行版补丁：部分 LTS 内核（如 Ubuntu 18.04 的 4.15）可能 backport 了高版本 namespace 行为，需结合具体 patchset 判断。
常见兼容性问题与规避方式
跨版本部署时常因 namespace 行为差异引发问题：
- user namespace + setuid 程序失效：3.19 前，user namespace 中 setuid 二进制文件默认被忽略（securebits 限制），可通过 prctl(PR_SET_NO_NEW_PRIVS, 1) 绕过或升级内核；
- network namespace 与 IPv6 RA 问题：4.12 前，netns 中启用 IPv6 autoconf 可能触发主机路由污染，建议显式配置或升级；
- PID namespace 与信号传递异常：3.12–4.8 存在子 namespace 中向 init 进程发送 SIGKILL 失败的问题，应避免直接 kill -9 1；
- mount namespace 与 overlayfs 元数据隔离：4.0+ 才完善 overlayfs 在多 mount namespace 下的 dentry 和 inode 隔离，旧版本可能泄露挂载信息。
