简介
nsenter 是一个命令行工具，通常用于在 Linux 上与命名空间 (namespace) 进行交互。它允许用户进入一个或多个命名空间，使得你可以在这些命名空间中执行命令。这个工具非常适合在容器化环境中使用，尤其是与 Docker、LXC 和其他容器技术相结合。它位于util-linux包中。
安装util-linux
yum install -y util-linux
基本概念（原理）
在 Linux 中，命名空间是一种用于隔离进程的机制。它们确保进程只看到它们所属的资源。常见的命名空间类型包括：
• Mount namespace：影响文件系统的挂载点。
• PID namespace：隔离进程ID。
• Network namespace：允许进程拥有自己的网络栈。
• User namespace：隔离用户和组ID。
• IPC namespace：影响进程间通信。
nsenter 允许你进入这些命名空间中的任意一个，能够使你在特定的环境中执行命令。
基本使用
nsenter OPTIONS --target --mount --uts --ipc --net --pid
【选项】：
○ --target ：指定你要进入的进程 ID (PID) 的目标。
○ --mount：进入挂载命名空间。
○ --uts：进入 UTS 命名空间（用于主机名和域名）。
○ --ipc：进入 IPC 命名空间。
○ --net：进入网络命名空间。
○ --pid：进入 PID 命名空间。
○ --user：进入用户命名空间。
○ --preserve-credentials：保留用户凭据。
使用案例
-
进入容器进程的网络命名空间
命令 实例
docker inspect <container_id> --format='{{json .State.Pid}}' root@cnbhw-pcp-10-25-16-87 docker# docker inspect ccde03c23434 --format '{{.State.Pid}}'
102893
nsenter -n -t nsenter --net -t 102893
ip a 容器进程102893的网络命名空间
exit 退出容器PID的网络命名空间
ip a 容器宿主机的网路的网络命名空间
-
假设你有一个正在运行的容器，其主进程的 PID 为 102893，你可以使用以下命令进入该进程的命名空间并获得一个 shell。
这将启动一个新的 Bash shell，并使你进入与 PID 12345 相同的命名空间。
nsenter --target 102893 --mount --uts --ipc --net --pid -- /bin/bash
root@ccde03c23434:/# hostname #进入了容器的IPC空间
ccde03c23434
root@ccde03c23434:/# exit
exit
root@cnbhw-pcp-10-25-16-87 \~# hostname #会到了宿主机的命名空间
cnbhw-pcp-10-25-16-87
使用 Tips
• 权限问题：需要具备相应的权限（如 root）才能使用 nsenter 进入指定的命名空间。
• 调试容器：如果你的进程在容器内部崩溃，承载在容器中的 nsenter 能帮助你获得更多的信息。
• 多命名空间：可以同时进入多个命名空间，提供更好的调试环境。
• 使用 pgrep 命令：结合 pgrep 命令可以方便地找到运行中程序的 PID，将其直接传给 nsenter。
• 监控工具：在进入命名空间后，可以使用诸如 top、htop、ps 等监控工具来观察该命名空间内的活动。