你有没有想过，为什么Docker能隔绝进程的生死？答案藏在Namespace和Cgroup这对Linux内核的双生子中。
2013年那场关于Linux容器技术的争论，至今仍在影响着DevOps的实践。当时有人质疑：进程隔离能有多强？答案是——强到让你怀疑人生。
我第一次在Ubuntu 12.04上玩Namespace时，用unshare --mount --pid创建了一个隔离的进程空间。结果发现，连ps命令都看不穿这个"幽灵进程"。这让我想起当年在Red Hat上用Virt-Manager虚拟化的日子，容器的轻量化简直是对虚拟机的降维打击。
Cgroup的出现让事情变得更复杂。它像一个精准的流量控制阀，能按需分配CPU、内存甚至网络带宽。你见过凌晨三点的服务器突然卡顿吗？那多半是某个Cgroup泄露的后遗症。
实战中有个绝招：tree /proc/self/cgroup能让你看清当前进程的资源限制。记得有一次我调试Kubernetes的OOM问题，就是靠这个命令发现某个Pod的内存Cgroup配置异常。
文件系统的层叠挂载技巧同样精彩。mount --bind配合chroot，能构造出一个微型Linux世界。这让我想起在嵌入式设备上用BusyBox打造的最小系统，Everything is a file的哲学在此体现得淋漓尽致。
现在回头看，Namespace和Cgroup的组合已经改变了我们对系统隔离的认知。但真正让它们爆发的，是Docker将这些内核特性封装成了可编程的接口。
你敢不敢在终端里执行unshare --mount --pid --uts --network sh，亲手创建一个完全隔离的沙箱？