nsenter

进入目标进程的 namespace

补充说明

nsenter 可以进入容器的 mount/net/pid/uts/ipc/user namespace，常用于在宿主机排查容器网络或文件系统。

常用示例

nsenter -t <PID> -m -u -i -n -p
nsenter -t <PID> -n ss -lntp
nsenter -t <PID> -m --root

易错点与排错

• 需要 CAP_SYS_ADMIN/root；普通用户通常不行。
• -t 要是宿主机可见的 PID；容器内 PID 不等于宿主机 PID。
• 只进 net namespace 仍看不到容器的 mount；按需加 -m。
• 进入后 ps 可能需要 -p 才看到容器进程；/proc 挂载要匹配。
• 不要在生产容器里长期操作；优先用 kubectl exec/podman exec。
• 容器已退出时 namespace 不存在；先确认进程还活着。