Gvisor

gVisor是由Google开发的一种轻量级的容器隔离技术

通过在容器与主机操作系统之间插入一个虚拟化层来实现隔离

gVisor提供了一个类似于Linux内核的API，使得容器可以在一个更加受控的环境中运行
使用了一种称为“Sandbox”的机制，将容器的系统调用转换为对gVisor的API调用，然后再由gVisor转发给宿主操作系统
可以有效地隔离容器与主机操作系统之间的资源访问，提高了容器的爱全性。

gVisor的性能开销相对于传统的虚拟机性能损失较小
Googl的测试数据，gVisor的性能损失在10%左右
主要是因为gVisor使用了一些优化技术，如JIT编译器和缓存机制，来减少虚拟化层的开销
gVisor还支持多核并发，可以在多核系统上实现更好的性能。

gVisor 工作的核心，在于为应用进程、也就是用户容器，启动了一个名叫 Sentry 的进程
而 Sentry 进程的主要职责，就是提供一个传统的操作系统内核的能力，即：运行用户程序，执行系统调用
Sentry 并不是使用 Go 语言重新实现了一个完整的 Linux 内核，而只是一个对应用进程“冒充”内核的系统组件。

在这种设计思想下，我们就不难理解，Sentry 其实需要自己实现一个完整的 Linux 内核网络栈，以便处理应用进程的通信请求。然后，把封装好的二层帧直接发送给 Kubernetes 设置的 Pod 的 Network Namespace 即可