Network namespace
Isolamento do Linux em que um grupo de processos ganha a própria pilha de rede: interfaces, endereços IP, tabelas de roteamento e regras de iptables próprios. Junto com outros namespaces, é a base dos contêineres.
ip netns add foo cria um netns. ip netns exec foo bash abre um shell dentro dele. Pares veth são a forma comum de conectar namespaces: uma ponta no host, a outra no ns. O Docker usa o modo bridge por padrão — o contêiner fica no próprio netns, ligado à bridge docker0. O modo host (--net=host) dispensa o isolamento, e o contêiner compartilha a pilha do host. Uso clássico para depuração: testar configurações de rede diferentes sem encostar no host. Vários netns + WireGuard = anonimização por processo sem muito esforço.