ネットワーク名前空間
プロセス群に独自のネットワークスタック（インターフェース、IPアドレス、ルーティングテーブル、iptablesルール）を与えるLinuxの分離機構。他の名前空間とともにコンテナの土台となる。
ip netns add foo でnetnsを作り、ip netns exec foo bash でその中のシェルを起動する。名前空間どうしの接続にはvethペアがよく使われ、片端をホスト、もう片端を名前空間に置く。Dockerは既定でブリッジモードを使い、コンテナを専用のnetnsに入れてdocker0ブリッジにつなぐ。ホストモード（--net=host）では分離せず、ホストのスタックを共有する。ホストを触らずに別のネットワーク構成を試せるので、デバッグの定番でもある。複数のnetnsとWireGuardを組み合わせれば、プロセス単位の匿名化も簡単だ。