Diagnostiquer un conteneur depuis l'hôte avec lsns et nsenter

Objectif

Diagnostiquer l'état réseau d'un conteneur (ou tout autre état lié à un namespace) avec les outils habituels de l'hôte, sans avoir à installer ces outils dans une image de conteneur minimale.

Prérequis

Accès root sur l'hôte (entrer dans les namespaces d'un autre processus exige des privilèges sur ce processus, et les opérations sur les namespaces réseau et mount nécessitent en pratique CAP_SYS_ADMIN) ; nsenter et lsns de util-linux, normalement déjà présents.

Étapes

1. Lister les namespaces de l'hôte : lsns affiche chaque instance de namespace, son type (net, mnt, pid, uts, ipc, user, cgroup, time), le processus propriétaire et sa commande ; ajoutez -t net pour n'afficher que les namespaces réseau. Cela donne un inventaire valable pour tout l'hôte, quel que soit le moteur de conteneurs qui les a créés.
2. Trouver le PID d'un conteneur donné depuis l'hôte : avec Docker, docker inspect --format '{{.State.Pid}}' <container> ; avec Podman, podman inspect --format '{{.State.Pid}}' <container> (pour un conteneur rootless, exécutez la commande en tant qu'utilisateur propriétaire, puis lancez nsenter en root). Ce PID est le point d'ancrage des namespaces du conteneur, vu depuis l'hôte.
3. Vérifier à quels namespaces ce PID appartient : lsns -p <pid>, ou lire directement /proc/<pid>/ns/. Chaque entrée est un lien symbolique dont la cible (un numéro d'inode et le type de namespace) identifie le namespace, comme le décrit la documentation des fichiers /proc/[pid]/ns/.
4. Entrer uniquement dans le namespace réseau pour exécuter des diagnostics avec les outils de l'hôte : nsenter -t <pid> -n ss -tulpn ou nsenter -t <pid> -n ip addr show. L'option -n (ou --net) rattache la commande au namespace réseau du processus cible pendant son exécution, sans toucher à son namespace mount ni PID.
5. Entrer dans plusieurs namespaces si nécessaire, par exemple réseau et UTS avec nsenter -t <pid> -n -u sh -c 'hostname; ip route', ou dans tous avec -a. Une fois dans le namespace mount (-m ou -a), le programme est recherché dans le système de fichiers du conteneur et non dans celui de l'hôte : nsenter -t <pid> -m -n /bin/sh lance le /bin/sh du conteneur et échoue si l'image n'en contient pas. Pour continuer à utiliser les binaires de l'hôte, omettez -m ; si aucun programme n'est indiqué, nsenter exécute $SHELL.
6. Quitter le shell, ou laisser la commande ponctuelle se terminer ; cela n'affecte pas les processus du conteneur, qui continuent de tourner pendant toute l'opération.

Résultat attendu

La sortie de ss/ip montre exactement les sockets et les interfaces visibles dans le namespace réseau du conteneur, et correspond à ce qu'afficherait ip addr exécuté dans le conteneur lui-même (si disponible).

Limites et base de vérification

nsenter agit sur le PID tel qu'il existe à l'instant présent ; si le conteneur redémarre, recherchez de nouveau le PID, car l'ancien PID et ses namespaces peuvent ne plus exister ou appartenir à un autre processus. Un conteneur qui utilise directement le namespace réseau de l'hôte (--net=host) n'a pas de namespace réseau distinct dans lequel entrer : lsns le montrera partageant celui de l'hôte.