如何切换至Docker的网络namespace

问题现象

在Docker容器网络不通或者无法访问时，期望在宿主机上使用 tcpdump、ss 等网络工具直接诊断容器内部的网络状态（如监听端口、网络流量），但发现这些工具只能显示宿主机自身的网络信息，无法观测到目标容器内的网络详情。

问题原因

该现象由 Docker 的网络隔离机制导致。Docker 利用 Linux 内核的网络命名空间（Network Namespace）技术，为每个容器创建了一个独立的、隔离的网络协议栈。这个协议栈包含了独立的网络接口（如 lo, eth0）、路由表和防火墙规则。因此，从宿主机的默认网络命名空间中，无法直接访问或查看到任何容器内部的网络命名空间信息。

解决方案

为了在容器的网络环境中执行诊断命令，需要先从宿主机“进入”到目标容器的网络命名空间。推荐使用 nsenter 命令，因为它更直接且侵入性小。ip netns 命令可作为备选方案。

在开始之前，首先准备一个用于演示的 Nginx 容器环境。

# 启动一个名为 my-nginx 的 Nginx 容器，并将宿主机的 8080 端口映射到容器的 80 端口
docker run -d --name my-nginx -p 8080:80 nginx

方式一：使用 nsenter 命令

此方法通过目标容器的进程ID（PID）直接进入其网络命名空间，操作简单，是进行快速、交互式调试的首选方案。

1. 获取容器的 PID 此步骤用于定位容器在宿主机上的主进程ID。

   # 使用 docker inspect 的 --format 模板精确获取容器 PID，并存入变量
   CONTAINER_PID=$(docker inspect -f '{{.State.Pid}}' my-nginx)
   
   # 打印变量以确认
   echo $CONTAINER_PID

   执行后，将输出容器的 PID，例如：

   31889

2. 进入容器的网络命名空间 此步骤使用 nsenter 命令创建一个新的 Shell，该 Shell 继承了目标容器的网络环境。

   # -t 指定目标 PID
   # -n 指定进入 network namespace
   sudo nsenter -t $CONTAINER_PID -n

   执行后，命令行的提示符通常不会改变，但当前 Shell 会话已经处于容器的网络命名空间内。

3. 在容器网络命名空间内执行诊断 现在，所有网络相关的命令都将在容器的网络环境中执行。

   # 1. 查看网络接口，会看到容器内的 lo 和 eth0 网卡，而不是宿主机的网卡
   ip addr
   
   # 2. 查看监听端口，会看到 Nginx 正在监听 80 端口
   #    注意：这里看不到宿主机侧的 8080 端口映射
   ss -tnlp
   
   # 3. 使用 tcpdump 抓取容器网卡的网络包（例如，抓取 80 端口的包）
   #    如果容器内没有 tcpdump，可根据其基础镜像的包管理器临时安装
   #    例如：apt-get update && apt-get install -y tcpdump (Debian/Ubuntu)
   #    或：yum install -y tcpdump (CentOS/RHEL)
   tcpdump -i eth0 -nn port 80

4. 退出网络命名空间 完成调试后，退出 nsenter 创建的 Shell，返回宿主机环境。

   # 输入 exit 或按 Ctrl+D 组合键
   exit

方式二：使用 ip netns 命令

此方法通过创建一个符号链接，为容器的网络命名空间赋予一个名称，然后使用 ip netns 工具集进行管理。它适用于需要通过脚本非交互式地执行命令，或需要长期引用特定网络命名空间的场景。

1. 获取容器的 PID 此步骤与方式一相同，用于定位容器进程。

   CONTAINER_PID=$(docker inspect -f '{{.State.Pid}}' my-nginx)
   echo $CONTAINER_PID

2. 使网络命名空间可被识别 ip netns 命令默认在 /var/run/netns/ 目录中查找网络命名空间。此步骤通过创建符号链接，将容器的网络命名空间暴露给 ip netns 工具。

   # 1. 确保 /var/run/netns 目录存在
   sudo mkdir -p /var/run/netns/
   
   # 2. 创建从容器网络命名空间到目标目录的符号链接
   #    链接名建议使用有意义的名称，例如容器名
   sudo ln -sf /proc/$CONTAINER_PID/ns/net /var/run/netns/my-nginx

3. 使用 ip netns 执行命令 现在可以通过指定的名称，在容器的网络命名空间内执行任意命令，无需进入交互式 Shell。

   # 1. 列出所有可被 ip netns 识别的命名空间
   sudo ip netns list
   # 预期输出:
   # my-nginx
   
   # 2. 在 my-nginx 命名空间内执行命令，例如查看监听的 80 端口
   sudo ip netns exec my-nginx ss -tnlp | grep 80

4. 清理符号链接（可选） 调试结束后，可以删除创建的符号链接，保持环境整洁。

   sudo rm /var/run/netns/my-nginx