Dokcer由于是一个运行在单独的容器,与宿主交互的网络模式有以下方式:
- 网络模式不是Host时:
容器和宿主机的网络互相独立,而容器一般也不会有安装tcpdump。因此,无法直接抓取容器内的包。
- 网络模式是Host时:
容器不会获得一个独立的Network Namespace,而是和宿主机共用一个Network Namespace。容器将不会虚拟出自己的网卡,配置自己的IP等,而是使用宿主机的IP和端口,可直接tcpdump
针对第一种情况进行抓包有以下两种方式:
- Docker内部抓:
# 第一步 获取docker id
docker ps | grep container_id
# 第二步 copy tcpdump安装包和依赖包到容器内
docker cp libpcap0-0.9.8-50.10.1.x86_64.rpm container_id:/tmp/
docker cp tcpdump-3.9.8-1.21.x86_64.rpm container_id:/tmp/
# 第三步 进入容器 安装tcpdump后进行抓包
docker exec -it -u root container_id bash
rpm -ivh *.rpm
- 使用"nsenter"在宿主机抓包:
绝大部分 Linux 发行版预置的 util-linux 工具包存在"nsenter"中。
"nsenter"使用它可以进入指定进程的关联命名空间。包括文件命名空间(mount namespace)、主机名命名空间(UTS namespace)、IPC 命名空间(IPC namespace)、网络命名空间(network namespace)、进程命名空间(pid namespace)和用户命名空间(user namespace)
1、获取Docker容器进程id(pid)
docker inspect --format "{{.State.Pid}}" container_id/name
docker top container_id/name
2、使用nsenter切换网络命名空间
nsenter -n -t pid
3.切换后可使用tcpdump