ipc

netstat

tcpdump

一条 kubectl debug命令背后是这样的

步骤分别是：

1. 插件查询 ApiServer：demo-pod 是否存在，所在节点是什么
2. ApiServer 返回 demo-pod 所在所在节点
3. 插件请求在目标节点上创建 Debug Agent Pod
4. Kubelet 创建 Debug Agent Pod
5. 插件发现 Debug Agent 已经 Ready，发起 debug 请求（长连接）
6. Debug Agent 收到 debug 请求，创建 Debug 容器并加入目标容器的各个 Namespace 中，创建完成后，与 Debug 容器的 tty 建立连接

接下来，客户端就可以开始通过 5，6 这两个连接开始 debug 操作。操作结束后，Debug Agent 清理 Debug 容器，插件清理 Debug Agent，一次 Debug 完成。

直接进入容器net ns方式

有2种进入pod 所在net ns的方式，前提都是需要登录到pod所在宿主机，且需要找出pod对应的容器ID或者名字。

ip netns方式

• 获取pod对应容器的ID或者name

  pid="$(docker inspect -f '{{.State.Pid}}' <container_name | uuid>)" #替换为环境实际的容器名字或者uuid

• 创建容器对应netns

  ip netns会到/var/run/netns目录下寻找network namespace，把容器进程中netns连接到这个目录中后，ip netns才会感知到

  $ sudo mkdir -p /var/run/netns
  
  #docker默认不会创建这个链接，需要手动创建,这时候执行ip netns，就应当看到链接过来的network namespace
  $ sudo ln -sf /proc/$pid/ns/net "/var/run/netns/<container_name|uuid>"

• 执行ip netns <<container_name|uuid > bash,进入容器ns

  ip netns exec <container_name|uuid>  bash

• 执行telnet，tcpdump等命令，此时执行ip a或者ifconfig，只能看到容器本身的IP

nsenter方式

nsenter为util-linux里面的一个工具，除了进入容器net ns，还支持其他很多操作，可以查看官方文档。

pid="$(docker inspect -f '{{.State.Pid}}' <container_name | uuid>)"
nsenter -t $pid -n /bin/bash
tcpdump -i eth0 -nn  #此时利用宿主机的tcpdump执行抓包操作，等于在容器内抓包

总结

1. kubectl debug方式功能更强大，缺点是需要附加镜像，要在目标pod创建debug agent的容器，比较笨重，但是优点是能使用的工具更多，不需要ssh到pod所在节点，除了netstat，tcpdump工具，还能使用htop，iostat等其他高级工具，不仅能对网络进行debug，还能对IO等其他场景进行诊断，适用更复杂的debug场景。
2. 直接进入容器net ns方式相对比较轻量，复用pod所在宿主机工具，但鱼和熊掌不可兼得，缺点是只能进行网络方面的debug，且需要ssh登录到pod所在节点操作。