nsenter 命令详解：进入容器命名空间调试网络

前言

nsenter 是一个用于进入其他进程命名空间的命令行工具。在容器化场景中，它的典型用途是进入容器的网络命名空间进行调试——因为容器通常为了轻量化，不会包含 ip、ping、telnet、ss、tcpdump 等基础网络管理调试工具，给排查网络问题带来很大困扰。借助 nsenter，可以直接使用宿主机上的网络工具来调试容器内部网络。

除了网络命名空间，nsenter 还可以进入 mount、uts、ipc、pid、user 等命名空间，并支持指定根目录和工作目录。

安装

在线安装

nsenter 位于 util-linux 包中，主流 Linux 发行版通常已默认安装。如果没有安装，可使用以下命令：

# RHEL / CentOS / Fedora
yum install util-linux

# Debian / Ubuntu
apt install util-linux

离线部署

参考：使用 nsenter 工具管理 Docker 容器

使用示例

当 Docker 容器中缺少 ping、telnet 等网络工具时，可以通过 nsenter 进入容器的网络命名空间，直接使用宿主机上的命令来验证容器网络是否通畅。这种方式不需要容器内安装任何网络工具，只需要宿主机节点上有对应命令即可。

1. 查看容器列表

docker ps -a

2. 获取目标容器的 PID

注意：需要容器处于运行状态才能查到 PID。

# docker inspect -f '{{.State.Pid}}' <容器ID或容器名>
docker inspect -f '{{.State.Pid}}' d90

3. 进入容器的网络命名空间

nsenter -n -t 110634

进入后，当前 shell 的网络环境已切换到目标容器中。此时执行的所有网络命令都会在容器的网络栈中生效。

4. 使用宿主机命令调试容器网络

# 测试网络连通性
ping 127.0.0.1

# 测试端口连通性
telnet 127.0.0.1 3306

也可以直接在 nsenter 命令后跟上要执行的命令：

# 一步到位：进入容器网络命名空间并执行 ping
nsenter -n -t 110634 ping 127.0.0.1

# 测试远程端口
nsenter -n -t 110634 telnet 192.168.1.100 3306

参数说明

用法：
 nsenter [options] <program> [<argument>...]

Run a program with namespaces of other processes.

选项：
 -t, --target <pid>     要获取名字空间的目标进程
 -m, --mount[=<file>]   enter mount namespace
 -u, --uts[=<file>]     enter UTS namespace (hostname etc)
 -i, --ipc[=<file>]     enter System V IPC namespace
 -n, --net[=<file>]     enter network namespace
 -p, --pid[=<file>]     enter pid namespace
 -U, --user[=<file>]    enter user namespace
 -S, --setuid <uid>     set uid in entered namespace
 -G, --setgid <gid>     set gid in entered namespace
     --preserve-credentials do not touch uids or gids
 -r, --root[=<dir>]     set the root directory
 -w, --wd[=<dir>]       set the working directory
 -F, --no-fork          执行 <程序> 前不 fork
 -Z, --follow-context   set SELinux context according to --target PID

 -h, --help     显示此帮助并退出
 -V, --version  输出版本信息并退出

更多信息请参阅 nsenter(1)。

总结

nsenter 是容器调试中不可或缺的工具，特别是在容器镜像高度精简、缺少网络诊断命令的情况下。掌握 -t 指定进程和 -n 进入网络命名空间的组合用法，可以高效解决大多数容器网络排查场景。