docker容器內的網絡抓包

layman 發布于2019-06-28 16:53 / 1472人閱讀

摘要：有兩種方式來對容器進行抓包在容器內安裝工具來直接抓包使用宿主機上的工具對容器進程抓包。包括文件命名空間主機名命名空間命名空間網絡命名空間進程命名空間和用戶命名空間。

當docker容器的網絡模式不是--net=host(如果啟動容器的時候使用host模式，那么這個容器將不會獲得一個獨立的Network Namespace，而是和宿主機共用一個Network Namespace。容器將不會虛擬出自己的網卡，配置自己的IP等，而是使用宿主機的IP和端口)時，容器和宿主機的網絡互相獨立，而容器一般也不會有安裝tcpdump。因此，無法直接抓取容器內的包。

有兩種方式來對容器進行抓包：
在docker容器內安裝tcpdump工具來直接抓包；使用宿主機上的tcpdump工具對容器進程抓包。

1，在docker容器內安裝tcpdump工具來直接抓包

獲取docker id

docker ps | grep xxx

copy tcpdump安裝包和依賴包到容器內

docker cp libpcap0-0.9.8-50.10.1.x86_64.rpm container_id:/tmp/
docker cp tcpdump-3.9.8-1.21.x86_64.rpm container_id:/tmp/

進入容器安裝tcpdump后進行抓包

docker exec -it -u root container_id bash
rpm -ivh *.rpm

也可直接使用這個tcpdump文件(已編譯好免安裝可直接使用)
docker cp /file/to/path/tcpdump container_id:/tmp/
sh /tmp/tcpdump -i any -s 0 host x.x.x.x

2，使用宿主機上的tcpdump工具對容器進程抓包

如果宿主機上已安裝了tcpdump抓包工具，那我們就可以通過宿主機上的nsenter工具來對docker容器進行抓包。

nsenter 包含在絕大部分 Linux 發行版預置的 util-linux 工具包中。使用它可以進入指定進程的關聯命名空間。包括文件命名空間（mount namespace）、主機名命名空間（UTS namespace)、IPC 命名空間（IPC namespace）、網絡命名空間（network namespace）、進程命名空間（pid namespace）和用戶命名空間（user namespace）。

what is nsenter ?

It is a small tool allowing to enter into namespaces. Technically, it can enter existing namespaces, or spawn a process into a new set of namespaces. "What are those namespaces you"re blabbering about?" We are talking about container namespaces.

nsenter can do many useful things, but the main reason why I"m so excited about it is because it lets you enter into a Docker container.

如何使用nsenter來抓包呢？

獲取容器進程id，即PID
docker ps | grep xxx 獲取容器id/name
docker inspect --format "{{.State.Pid}}" container_id/name 獲取PID

使用nsenter切換網絡命名空間
nsenter -n -t container_id/name
可在切換前后執行ifconfig來對比變化

現在就已進入容器的網絡命名空間，就可以使用宿主機上的tcpdump來對容器進行抓包了

GPU云服務器云服務器 docker 容器容器 docker docker容器與容器云 docker容器

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/27620.html

基于 Container 網絡共享機制的抓包實踐

摘要：由于出于簡單可維護的目的，這個容器的基礎鏡像里面沒有帶上任何和網絡抓包相關的功能。這就為網絡抓包提供了基礎。抓包實踐我們現在用一個提供簡單服務的鏡像來進行測試。背景假設存在一個容器，提供的服務是 HTTP 或者 RPC 的服務。由于出于簡單可維護的目的，這個容器的基礎鏡像里面沒有帶上任何和網絡抓包相關的功能。那么如何能搞對這樣的容器進行抓包，以分析業務上面可能存在的問題呢？共享網...

blastz 2019-07-01 17:18 評論0 收藏0
K8s對pod進行網絡抓包

摘要：微軟雅黑對抓包有兩種辦法微軟雅黑一進入內使用抓包微軟雅黑微軟雅黑微軟雅黑微軟雅黑微軟雅黑的使用請參照。對pod抓包有兩種辦法：一、進入pod內使用tcpdump抓包：kubectl get pod -owide -n namespace | grep podnamekubectl exec -it podname -n ...

張巨偉 2021-11-23 09:51 評論0 收藏0
k8s與網絡--Flannel解讀

摘要：是一個專為定制的三層網絡解決方案，主要用于解決容器的跨主機通信問題。收到的數據包被轉發到進程。查詢路由表，解封包，并將數據包發送到。然后在網絡層的源和目的均是容器的，虛擬。默認也是使用容器網絡方案，其官網也清晰的畫出了的。前言我們知道docker官方并沒有提供多主機的容器通信方案，單機網絡的模式主要有host，container，brige，none。none這種模式，顧名思義就是...

laznrbfe 2019-07-01 17:30 評論0 收藏0
k8s與網絡--Flannel解讀

摘要：是一個專為定制的三層網絡解決方案，主要用于解決容器的跨主機通信問題。收到的數據包被轉發到進程。查詢路由表，解封包，并將數據包發送到。然后在網絡層的源和目的均是容器的，虛擬。默認也是使用容器網絡方案，其官網也清晰的畫出了的。前言我們知道docker官方并沒有提供多主機的容器通信方案，單機網絡的模式主要有host，container，brige，none。none這種模式，顧名思義就是...

Pink 2019-07-01 16:48 評論0 收藏0