# Linux：用户、命名空间与委托

确认实际套接字归属并检查内核流量路径。

更新: 2026-11-05
Canonical: https://shortant.ai/zh-CN/guides/platform-linux/

根据公开网络保护手册 3.0.1 整理。先做只读核验；本页不提供通用可执行配置。

## 匹配实际执行边界

区分原生 Linux、容器、虚拟机与远端主机。记录生效用户、命名空间、防火墙管理权、服务套接字与特权委托。按用户匹配套接字不会自动覆盖身份变化、共享解析器或转发流量。

检查 output、forwarding、NAT、TUN 与已建立连接的行为，不通过清空整机规则简化配置。代理与维护身份应独立于受保护工作负载的拒绝范围。

## 委托与恢复

不受限的容器套接字、特权辅助程序或主机委托可能绕过预期边界。其他身份的包管理器需单独处理，每个实际执行位置都要核验。

使用已安装管理器支持的限定范围事务和已验证的恢复方案。未知委托或启动路径要明确保留缺口；本页不提供通用 shell 命令。

## 来源与范围

- [Linux kernel networking documentation](https://docs.kernel.org/networking/)

独立整理的教育性内容；厂商文档权利归原权利人。请核对已安装版本与适用范围。网页分数不能证明本机隔离、账号权限或封禁风险。