必须使用 --pid=host 才能实现物理机级抓包，因为默认容器 PID 命名空间隔离导致无法访问宿主机进程信息和 /proc/[pid]/net 等路径；启用后配合 --network=host 和必要 cap-add（如 NET_RAW、SYS_PTRACE）才可运行 tcpdump、ss、strace 等工具。
要让 Docker 容器与宿主机共享进程命名空间（即 --pid=host），从而实现无侵入式、物理机级的容器化运维抓包（如用 tcpdump 抓全系统流量、分析跨容器/宿主机进程通信），关键在于正确启用 host PID 模式 + 保留必要权限 + 配合网络和能力配置。这不是单纯加个参数就能跑通，需兼顾隔离性、安全性与功能性。
为什么必须用 --pid=host 才能做“物理机级”抓包？
默认容器 PID 命名空间是隔离的：
- 容器内
ps看不到宿主机进程（如sshd、dockerd、nginx主进程等） -
tcpdump -p或perf等工具若依赖/proc/[pid]/net/或进程上下文（如追踪 socket 关联进程），将因 PID 不可见而失效
--pid=host 后：
✅ 容器内 ps aux 可见所有宿主机进程（含 init、systemd、containerd-shim）
✅ /proc/[pid]/fd/、/proc/[pid]/net/ 路径可访问 → 支持 ss -tulpn、lsof -i、tcpdump -p 绑定到任意进程监听端口
✅ 可对宿主机上任意进程发起 strace -p <host_pid>（需额外 --cap-add=SYS_PTRACE）
基础命令行配置（快速验证）
docker run -it \ --pid=host \ --network=host \ --cap-add=NET_RAW \ --cap-add=NET_ADMIN \ --cap-add=SYS_PTRACE \ -v /proc:/proc:ro \ -v /sys:/sys:ro \ -v /etc:/etc:ro \ ubuntu:22.04
进入后即可：
-
ps aux | grep nginx→ 看到宿主机 nginx 进程 -
ss -tulpn | grep :80→ 显示宿主机所有监听 80 的进程（含 PID） -
tcpdump -i any port 80 -w /tmp/capture.pcap→ 抓全网卡流量（--network=host是前提） -
strace -p $(pgrep -f "nginx: master") -e trace=connect,accept→ 追踪宿主机 nginx 系统调用（需SYS_PTRACE）
⚠️ 注意：
--pid=host不自动赋予网络或 ptrace 权限，必须显式添加--cap-add和--network=host，否则多数抓包/诊断命令会失败或报 permission denied。
docker-compose.yml 正确写法（避坑重点）
常见错误：pid: host（YAML 将其解析为布尔值 true，Docker 实际收到的是 pid: true → 启动失败）
✅ 正确写法（必须加引号）：
services:
sniffer:
image: ubuntu:22.04
pid: "host" # ← 引号不能省！等价于 --pid=host
network_mode: "host" # ← 不是 network: host（那是旧写法）
cap_add:
- NET_RAW
- NET_ADMIN
- SYS_PTRACE
volumes:
- /proc:/proc:ro
- /sys:/sys:ro
- /etc:/etc:ro
command: ["sleep", "infinity"]启动后执行：
docker-compose exec sniffer bash # 然后运行 tcpdump/ss/strace 等命令
安全边界与最小权限实践
--pid=host 本身不开放 root 权限，但暴露了宿主机进程视图，需配合约束：
- ✅ 只读挂载
/proc/sys：防止容器误写内核参数或触发 OOM killer - ✅ 禁用特权模式（不用
--privileged）：避免绕过所有能力限制 - ✅ 明确声明所需 capabilities：如仅抓包，
NET_RAW+NET_ADMIN足够；如需strace，再加SYS_PTRACE - ✅ 使用非 root 用户（可选）：在镜像中
USER 1001，再通过--user=root覆盖（若必须） - ❌ 避免同时挂载
/或/var/run/docker.sock（除非真需要管理 Docker）
? 提示：生产环境建议用专用诊断镜像（如
nicolaka/netshoot），它已预装tcpdump/nsenter/jq等工具，并默认适配 host PID + host network。
替代方案对比：什么时候不该用 --pid=host？
| 场景 | 推荐方式 | 原因 |
|---|---|---|
| 仅需抓某个容器的流量 | docker exec -it <container> tcpdump ... |
无需共享 PID，更安全 |
| 监控多个业务容器间通信 | --pid=container:<target> |
仅共享目标容器 PID，隔离性更好 |
需要 nsenter 进入其他容器命名空间 |
--pid=host + nsenter -t <pid> -n -p -m -u ...
|
必须先看到目标容器 PID，host PID 是前提 |
--pid=host 是物理机级可观测性的基石，但不是万能钥匙——用对场景，才真正“无侵入”。
不复杂但容易忽略细节。
