【K8s】专题十五（6）：Kubernetes 网络之 Pod 网络调试

本文内容均来自个人笔记并重新梳理，如有错误欢迎指正！

如果对您有帮助，烦请点赞、关注、转发、订阅专栏！

---

专栏订阅入口

| 精选文章 | Kubernetes | Docker | Linux | 羊毛资源 | 工具推荐 |

---

往期精彩文章

【Docker】（全网首发）Kylin V10 下 MySQL 容器内存占用异常的解决方法

【Docker】（全网首发）Kylin V10 下 MySQL 容器内存占用异常的解决方法（续）

【K8s】专题十五（5）：Kubernetes 网络之 CoreDNS

---

目录

一、基本介绍

二、Pod 网络调试

1、调试工具

2、调试原理

3、调试过程

三、nsenter 常用参数

---

一、基本介绍

在实际工作中，我们经常会遇到一些疑似网络方面的故障问题，从而需要对 Kubernetes 集群中的 Pod 进行网络调试。

但是由于最小化原则，Pod 的容器镜像中通常并不会安装 ping、curl、telnet、tcpdump 等调试工具，或者在 Pod 容器中可以临时安装工具但是效率不高，都给 Pod 网络调试带来困难。

针对上述场景的问题，笔者将在本文介绍一种 Pod 网络调试方法，以灵活应对网络调试需求。

---

二、Pod 网络调试

1、调试工具

nsenter 是 Linux 操作系统的一种命令行工具，允许用户进入指定进程的某个命名空间，并在该命名空间下灵活使用主机的命令行工具、执行特权操作等。

命名空间则是 Linux 内核的一种功能，用于将进程的资源隔离在不同的环境中，从而提高安全性和可靠性。常见的命名空间包括：

• Mount：文件系统命名空间
• UTS：主机名和域名命名空间
• IPC：进程间通信命名空间
• PID：进程命名空间
• Network：网络命名空间
• User：用户命名空间

通常在 Linux 操作系统中，默认安装有 nsenter。手动安装命令如下：

yum install -y util-linux || apt install -y util-linux

2、调试原理

在文章【Docker】专题一：Docker 基本架构 中提到，容器的本质是进程，但可以运行于独立的命名空间，拥有自己的 root 文件系统、网络配置、进程空间，甚至用户 ID 空间。

由此可见，我们可以通过 nsenter 进入 Pod 中容器（进程）的网络命名空间，利用 Node 节点已有的命令行工具实现对 Pod 进行网络调试。

3、调试过程

调试过程在使用 Containerd 作为运行时的 Kubernetes 集群中进行验证

• 作为对比，进入 Pod 内容器查看是否安装有 ping、curl、telnet、tcpdump 等调试工具，可以看到相关命令都不存在

kubectl exec -it <pod_name> bash

• 确定 Pod 所在 Node 节点

kubectl get po <pod_name> -owide

• 登录到 Pod 所在 Node 节点
• 在 Node 节点上操作，获取 Pod 内某个容器的 ID

crictl ps | grep <pod_name>

• 根据容器 ID 获取容器 PID

crictl inspect <container_id> | grep -i pid

• 进入容器网络命名空间，并验证

nsenter -t <pid> -n

• 使用 Node 节点已安装的 ping、curl、telnet、tcpdump 等工具进行网络调试接口

---

三、nsenter 常用参数

-t <pid>：指定要进入的目标进程的 ID
-m：进入目标进程的文件系统命名空间
-u：进入目标进程的用户命名空间
-i：进入目标进程的 IPC 命名空间
-n：进入目标进程的网络命名空间
-p：进入目标进程的 PID 命名空间
--root=/path/to/root：指定容器根文件系统路径（仅在进入挂载命名空间时有效）
--wd=/path/to/workdir：指定工作目录=======================================================================
nsenter -hUsage:nsenter [options] [<program> [<argument>...]]Run a program with namespaces of other processes.Options:-a, --all              enter all namespaces-t, --target <pid>     target process to get namespaces from-m, --mount[=<file>]   enter mount namespace-u, --uts[=<file>]     enter UTS namespace (hostname etc)-i, --ipc[=<file>]     enter System V IPC namespace-n, --net[=<file>]     enter network namespace-p, --pid[=<file>]     enter pid namespace-C, --cgroup[=<file>]  enter cgroup namespace-U, --user[=<file>]    enter user namespace-S, --setuid <uid>     set uid in entered namespace-G, --setgid <gid>     set gid in entered namespace--preserve-credentials do not touch uids or gids-r, --root[=<dir>]     set the root directory-w, --wd[=<dir>]       set the working directory-F, --no-fork          do not fork before exec'ing <program>-Z, --follow-context   set SELinux context according to --target PID-h, --help             display this help-V, --version          display versionFor more details see nsenter(1).