nsenter 是什么
nsenter 让一个进程进入另一个进程的命名空间执行命令，是宿主机上「钻进容器」的底层手段：按 PID 进入目标的网络、挂载、PID 等命名空间，借用宿主机上齐全的工具排查容器内部。容器镜像过于精简、连 ss 和 df 都没有的时候，它特别好用。
基本信息
| 所属 | util-linux |
|---|---|
| 语法 | nsenter -t PID [--net] [--mount] 命令 |
| 常用短选项 | -t 目标进程、-n 网络、-m 挂载、-u UTS、-i IPC、-p PID、-a 全部 |
| 替代方式 | 容器自带工具时优先 docker exec |
典型使用场景
- 最小化容器镜像没有网络工具，借宿主机工具查看容器端口
- 查看容器实际挂载的磁盘与文件系统占用
- 排查容器内进程的资源限制与调度情况
- 网络命名空间隔离问题：确认容器网卡与路由
- 在容器里执行需要宿主机视野或工具的命令
- 老版本编排环境下作为 exec 的兜底手段
常用示例
常用示例
pid=$(docker inspect -f '{{.State.Pid}}' 容器名) # 拿到主进程 PID
nsenter -t $pid -n ss -tlnp # 用宿主机 ss 看容器监听端口
nsenter -t $pid -m df -h # 看容器挂载的磁盘
nsenter -t $pid -n ip addr show # 容器视角的地址与网卡
nsenter -t $pid -a /bin/bash # 进入全部命名空间交互排查
nsenter -t $pid -p -- ps -ef | head # 进入 PID 命名空间看进程
readlink /proc/$pid/ns/net # 确认目标命名空间身份
docker exec 容器名 ss -tlnp # 容器自带工具时优先用这个常用选项
| 选项 | 含义 | 典型用途 |
|---|---|---|
| -t PID | 指定目标进程 | 其他命名空间都从它推导 |
| -n | 网络命名空间 | 看端口、地址与路由 |
| -m | 挂载命名空间 | 看容器内的文件系统 |
| -p | PID 命名空间 | 看容器内的进程树 |
| -a | 全部命名空间 | 一次性获得完整容器视角 |
先拿对 PID：容器主进程要用 docker inspect 的 State.Pid。找错 PID 会进入别的命名空间，看到的都不是目标容器的状态，结论也就无从谈起。
进入后身份仍按宿主机的 UID 计算：在挂载命名空间里操作容器文件系统时，路径与权限的语义容易混淆，误删误改的风险要自己承担。
Kubernetes 场景下更规范的做法是 kubectl debug 临时容器或 ephemeral 容器；nsenter 属于底层兜底手段，绕过编排层操作会留下审计盲区。