Docker-Networking-Namespace nicht sichtbar in ip netns Liste

Question

Wenn ich einen neuen Docker-Container wie schaffen mit

docker run -it -m 560m --cpuset-cpus=1,2 ubuntu sleep 120 

und seine Namensräume überprüfen, kann ich sehen, dass neue Namespaces erstellt wurden (Beispiel für pid 7047).

root@dude2:~# ls /proc/7047/ns -la 
total 0 
dr-x--x--x 2 root root 0 Jul 7 12:17 . 
dr-xr-xr-x 9 root root 0 Jul 7 12:16 .. 
lrwxrwxrwx 1 root root 0 Jul 7 12:17 ipc -> ipc:[4026532465] 
lrwxrwxrwx 1 root root 0 Jul 7 12:17 mnt -> mnt:[4026532463] 
lrwxrwxrwx 1 root root 0 Jul 7 12:17 net -> net:[4026532299] 
lrwxrwxrwx 1 root root 0 Jul 7 12:17 pid -> pid:[4026532466] 
lrwxrwxrwx 1 root root 0 Jul 7 12:17 user -> user:[4026531837] 
lrwxrwxrwx 1 root root 0 Jul 7 12:17 uts -> uts:[4026532464] 
root@dude2:~# ls /proc/self/ns -la 

Wenn ich mit ip netns list überprüfen kann ich nicht den neuen Netto-Namensraum sehen.

dude@dude2:~/docker/testroot$ ip netns list 
dude@dude2:~/docker/testroot$ 

Irgendeine Idee warum?

Answer 1

Das ist, weil Docker nicht den erforderlichen Symlink zu schaffen ist:

# (as root) 
pid=$(docker inspect -f '{{.State.Pid}}' ${container_id}) 
mkdir -p /var/run/netns/ 
ln -sfT /proc/$pid/ns/net /var/run/netns/$container_id 

Dann wird der netns Namensraum des Containers mit ip netns ${container_id} untersucht werden kann, zum Beispiel:

# e.g. show stats about eth0 inside the container 
ip netns exec "${container_id}" ip -s link show eth0 

Answer 2

Wie @jary angibt, wird der ip netns Befehl funktioniert nur mit Namespace-Symlinks in /var/run/netns. Wenn Sie jedoch über den Befehl nsenter verfügen (Teil des Pakets util-linux), können Sie dasselbe mit der PID Ihres Andock-Containers erreichen.

Um die PID eines Docker Container zu erhalten, können Sie laufen:

docker inspect --format '{{.State.Pid}}' <container_name_or_Id> 

Um einen Befehl innerhalb des Netzwerks Namensraum eines Behälters zu erhalten:

nsenter -t <contanier_pid> -n <command> 

ZB:

$ docker inspect --format '{{.State.Pid}}' weechat 
4432 
$ sudo nsenter -t 4432 -n ip addr show 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 
    inet 127.0.0.1/8 scope host lo 
     valid_lft forever preferred_lft forever 
    inet6 ::1/128 scope host 
     valid_lft forever preferred_lft forever 
75: eth0@if76: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default 
    link/ether 02:42:ac:11:00:1b brd ff:ff:ff:ff:ff:ff 
    inet 172.17.0.27/16 scope global eth0 
     valid_lft forever preferred_lft forever 
    inet6 fe80::42:acff:fe11:1b/64 scope link 
     valid_lft forever preferred_lft forever 

Das obige war äquivalent zum Laufen ip netns exec <some_namespace> ip addr show. Wie Sie hier sehen können, müssen Sie nsenter mit root-Rechten ausführen.