nsenter 是一个可以用来进入到目标程序所在 Namespace 中运行命令的工具，一般常用于在宿主机上调试容器中运行的程序。
经过前面两篇博客的扫盲，大家多多少少对docker有了一个基本的了解，也接触了docker的常用命令。在这篇博客中，我将介绍进入docker容器的几种方式。
在使用Docker创建了容器之后，大家比较关心的就是如何进入该容器了，其实进入Docker容器有好几多种方式，这里我们就讲一下常用的几种进入Docker容器的方法。
在使用-d参数时，容器启动后会进入后台，用户无法看到容器中的信息，也无法进行操作。
在使用 Kubernetes 时，可能会遇到一些网络问题。当通过检查配置与日志无法排查错误时，这时就需要抓取网络数据包，但是Pod内一般不会安装tcpdump命令，那有没有方法可以直接通过宿主机抓取Pod网络数据包？
在应用没有用容器的方式运行时，可以用nsenter和cgroup相关命令来进行控制，对应用进行资源隔离和namespace限制。本文先给出命令工具的入口，后续单独出一篇讲其应用场景及使用样例。
老板有个奇怪的需求，通过一个 kubeconfig 文件，获取主机的各种状态信息，比如进程列表、进程状态等。
对于运行在后台的Docker容器，我们运维人员时常是有登陆进去的需求。登陆Docker容器的方式： 1）使用ssh登陆容器。这种方法需要在容器中启动sshd，存在开销和攻击面增大的问题。同时也违反了Docker所倡导的一个容器一个进程的原则。 参考Docker容器学习梳理--SSH方式登陆容器 2）使用自带命令docker attach登陆容器。命令格式：docker attach container_id。不过docker attach存在的问题是：当多个窗口同时attach到同一个容器时，所有的窗口都会
3.进入cd util-linux-2.33目录，输入./configure --without-ncurses命令进行check
nsenter是一个功能强大的命令行工具，它允许用户直接进入到一个已经存在的命名空间（namespace）中，并在该命名空间内执行命令。这意味着即使容器内部没有安装特定的诊断工具，我们仍然可以利用宿主机上的工具来执行必要的操作。这一特性使得nsenter成为了云原生环境中不可或缺的诊断工具之一。
小编作为一个小白，在搭建lamp这个集成开发环境上卡了有4/5天，遇到了不少坑，有时候令人绝望，有时候又让人兴奋。作为小白，学得不深，在这里把这段时间踩过的坑以及学习经验跟大家分享，希望对大家的学习帮助。
在docker中，为了尽可能缩减镜像大小，常常不会包含一些常用的工具，类似ping，curl，tcpdump等，虽然精简了镜像，但如果我们需要在容器内部测试网络联通性时，没有这些工具就非常的头疼。其实容器内部和主机之间的网络环境是互相隔离的，处于独立的命名空间下，那如果能在主机上切换命名空间，就可以在主机上以容器的网络环境进行操作，就可以利用主机上的工具，利用这个思想，我们就能够实现不用进入容器内部也可以实现容器内部一样的环境。这种需求的工具就是我们今天要介绍的nsenter。
在前几篇文章[1,2,3]里,Lukas Pustina简单地介绍了使用Docker进行系统级虚拟化。在这篇文章里，我将讨论四种连接Docker容器并与其进行交互的方法。例子中所有的代码都可以在GitHub中找到，你可以亲自对它们进行测试。
我们知道docker 是基于linux 系统的namespace + cgroup实现的进程隔离技术，在mac下并不能很好的支持，因此需要运行在虚拟机上，虚拟机和docker的区别在于，虚拟机多了一层hypervisor。FreeBSD 下的虚拟技术 bhyve (The BSD Hypervisor) 包含在了 FreeBSD 10.0 发行版中。而这个 xhyve 是基于 bhyve 的 Mac OS X 移植版本
线上排查pod 问题一般有两种方式，kubectl log 或者 kubectl exec 调试。如果你的 log 写不够优雅，或者需要排除网络问题必须进容器，就只能 exec 了。
描述：随着容器化技术的普及，越来越多的应用部署在容器中，有时在正式环境中我们可能需要对容器进行抓包，以了解其网络通信情况及其排除通信异常的原因。
生产环境中，Node 都需要通过堡垒机登录，但是 kubectl 是可以直接在个人电脑上登录的。
云原生能力知识体系构建-Docker学习笔记 第一节：Docker的介绍 第二节：Docker的安装 第三节：Docker的常用命令 第四节：Docker镜像 第五节：Docker 容器连接 第六节：Docker 常见仓库 第七节：构建自己的第一Docker应用。 其他后续完善
我们一定听过容器的基础原理，namespace做隔离，Cgroups做限制，rootfs做文件系统，容器本质上是linux的一个进程，那么为什么大多数场景下，容器不直接使用宿主机上的网络，而要是通过network namespace隔离出一组专属的网络空间呢？（容器的基础原理，可参考：https://coolshell.cn/articles/17010.html）
1. 安装Ubuntu 2. 用Putty登录Ubuntu Welcome to Ubuntu 14.04.1 LTS (GNU/Linux 3.13.0-40-generic x86_64)
当开始使用Docker时，人们经常问：“我该如何进入容器？”，其他人会说“在你的容器里运行一个SSH服务器”。但是，从这篇博文中你将会了解到你根本不需要运行SSHd守护进程来进入你的容器。当然，除非你的容器就是一个SSH服务器。
使用容器总感觉像变模式一样。对那些了解其内部原理的人来说，他是一种很好的方式；而对于那些不了解其内部原理的人来说，这是一种可怕的方式。
使用容器总是感觉像使用魔法一样。对于那些理解底层原理的人来说容器很好用，但是对于不理解的人来说就是个噩梦。很幸运的是，我们已经研究容器技术很久了，甚至成功揭秘容器只是隔离并受限的 Linux 进程，运行容器并不需要镜像，以及另一个方面，构建镜像需要运行一些容器。
一直以来，网络都是容器中令人头疼的问题。本文的主要目的是带你解决容器网络问题，让你不再对它恐惧。
本节我们来讨论Docker容器的常用命令。 新建并启动容器[重要] 使用以下 docker run 命令即可新建并启动一个容器。该命令是我们最常用的命令了，它有很多选项，下面笔者列举一些常用的选项。 ① -d选项：表示后台运行 ② -P选项：随机端口映射 ③ -p选项：指定端口映射，有以下四种格式。 ip:hostPort:containerPort ip::containerPort hostPort:containerPort containerPort ④ --network选项：指定网络模式，该选项
经过熟悉之后，在 docker 里安装了一个 ubuntu 准备学习使用。然后遇到了一些问题：使用 docker run -d ubuntu 之后，container在运行之后马上退出了。
如果你经常使用容器，那么你很有可能希望在某个时刻查看正在运行的容器的文件系统。也许容器无法正常运行，你想读取一些日志，也许你想检查容器内部的一些配置文件…或者，你可能像我一样，想在该容器中的二进制文件上放置一些 eBPF 探针（稍后将详细介绍）。 不管原因是什么，在这篇文章中，我们将介绍一些可以用来检查容器中的文件的方法。 我们将从研究容器文件系统的简单和通常推荐的方法开始，并讨论为什么它们不能总是工作。接下来，我们将对 Linux 内核如何管理容器文件系统有一个基本的了解，我们将利用这一了解以不同但仍然
在 k8s 云环境中，我们需要在容器内抓包进行 Debug, 但通常大多容器都没有安装 tcpdump 以及其他网络工具；在托管 k8s 中我们想登录 node，不是没权限就是步骤太麻烦。本文的主角nsenter正是很擅长解决这些问题，nsenter可以进入指定namespace的工具，一般用来在容器环境中进行调试。
Linux的Namespace[1]机制提供了一种资源隔离的解决方案，而目前Linux内核里面实现且支持的Namespace有7种，如下表：
由于Selinux和LXC有冲突,所以需要禁用selinux.编辑/etc/selinux/config,设置两个关键变量.
本章要完成的任务则是golang启动一个sh的进程，并且sh的进程将在新的命名空间中运行。
BusyBox 是一个集成了三百多个最常用Linux命令和工具的软件。BusyBox 包含了一些简单的工具，例如ls、cat和echo等等，还包含了一些更大、更复杂的工具，例grep、find、mount以及telnet。有些人将 BusyBox 称为 Linux 工具里的瑞士军刀。简单的说BusyBox就好像是个大工具箱，它集成压缩了 Linux 的许多工具和命令，也包含了 Linux 系统的自带的shell。
一、前言 本文提供了一种可行的、灵活的方案用于构建跨主机的Docker容器网络。鉴于目前的各类网络方案均依赖其他大型项目（比如CoreOS，Kubernetes）。本文的主旨就是抛开其他不必要的依赖，构建一个在大多数平台上都能运行的网络方案。 pipework，是由Docker的工程师Jérôme Petazzoni开发的一个Docker网络配置工具，由200多行shell代码写成，适合在多种不同的网络环境下配置容器网络，支持多种功能。github获取地址：https://github.com/jpetaz
在容器业务请求的网络问题排查中，可以通过nsenter进入业务容器网络命名空间中抓包，分析根因。
层(Layer)其实是AUFS(Advanced Union File System, 一种联合文件系统)中的概念，是实现增量保存于更新的基础。
cgroups，其名称源自控制组群（control groups）的简写，是 Linux 内核的一个功能，用来限制、控制与分离一个进程组能够使用的资源上限，包括CPU、内存、磁盘、网络带宽等等。此外，还能够对进程进行优先级设置，资源的计量以及资源的控制（比如：将进程挂起和恢复等操作)。
容器理念是单进程， 如 执行一个/bin/bash 当退出/bin/bash之后 相当于退出 bash环境 自然就结束掉了。
在排查容器网络问题时，常常会遇到容器内没有相关命令，或者容器没有shell环境，无法通过命令行进入容器，此时就可以尝试登录容器所在节点，并进入容器网络空间，进而排查容器网络问题。
Istio 在网格中部署的Pod中注入initContainer，istio-init。该istio-init容器设置荚的网络流量重定向到/从Istio三轮代理。这就要求将用户或服务帐户部署到网格上的Pod具有足够的Kubernetes RBAC权限才能部署具有NET_ADMIN和NET_RAW功能的容器。对于某些组织的安全合规性，要求Istio用户具有提升的Kubernetes RBAC权限是有问题的。Istio CNI插件是istio-init执行相同网络功能但不要求Istio用户启用提升的Kubernetes RBAC权限的容器的替代。
在生产环境中，时常会因为磁盘故障、误操作等原因出现文件系统的错误。Chaos Mesh 很早就提供了注入文件系统错误的能力。用户只需要添加一个 IOChaos 资源，就能够让对指定文件的文件系统操作失败或返回错误的数据。在 Chaos Mesh 1.0 之前，使用 IOChaos 需要对 Pod 注入 sidecar 容器，并且需要改写启动命令；哪怕没有注入错误，被注入 sidecar 的容器也总是有较大的性能开销。随着 Chaos Mesh 1.0 的发布，提供了运行时注入文件系统错误的功能，使得 IOChaos 的使用和其他所有类型的 Chaos 一样简单方便。这篇文章将会介绍它的实现方式。
本文将引入一个思路：“在 Kubernetes 集群发生网络异常时如何排查”。文章将引入 Kubernetes 集群中网络排查的思路，包含网络异常模型，常用工具，并且提出一些案例以供学习。
线上容器有时可能缺少一些软件用于调试容器，本文举例通过nsenter 工具进入容器net namespace，使用宿主机tcpdump工具进行网络抓包演示；
在初接触Docker的时候，我们必须要了解的几个概念就是Cgroup、Namespace、RootFs，如果本身对虚拟化的发展没有深入的了解，那么很难对这几个概念有深入的理解，本文的目的就是通过在操作系统中以交互式的方式去理解，Cgroup/Namespace/Rootfs到底实现了什么，能做到哪些事情，然后通过shell这种直观的命令行方式把我们的理解组合起来，去模仿Docker实现一个缩减的版本。
Docker是基于go语言开发，底层技术（Linux下）主要基于cgroups、namespace以及联合文件技术实现的一种进程级别的轻量级虚拟化解决方案。由于Docker进程隔离独立于宿主机上其他进程，因此也称为容器，Docker在容器的基础上，进行了更进一步的封装，从文件系统、网络到进程隔离等，极大简化了容器的创建管理维护工作，降低了开发者使用门槛，因此才在近几年流行开来（毕竟Docker的底层技术在Docker出现之前就已经存在了）。
按照费曼学习法中的输入、回顾、输出、传授过程，从这篇文章开始，会将容器、k8s 等相关的知识通过一系列文章跟大家分享。若理解有偏差，还请给个及时的 Feedback。看了有收获的麻烦点个关注哦！
Linux Namespace 是 Linux 提供的一种内核级别环境隔离的方法。用官方的话来说，Linux Namespace 将全局系统资源封装在一个抽象中，从而使 namespace 内的进程认为自己具有独立的资源实例。这项技术本来没有掀起多大的波澜，是容器技术的崛起让他重新引起了大家的注意。
在排错过程中，kubectl 是最重要的工具，通常也是定位错误的起点。这里也列出一些常用的命令，在后续的各种排错过程中都会经常用到。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
