最实用方式是直接在宿主机定位容器veth接口并用tcpdump抓包：先docker inspect获取IP和PID，再ip link查veth名，最后sudo tcpdump -i vethxxx host 容器IP；也可用eBPF按PID过滤或交Suricata基于af_packet实现实时异常检测。

直接在宿主机上定位容器对应的 veth 接口，用 tcpdump 抓包并配合轻量统计或 Suricata 分析，是最实用、最可控的方式。Docker 本身不提供“一键抓容器流量”的命令，所有有效方法都依赖 Linux 底层网络机制。

定位容器 veth 接口并 tcpdump 实时抓包

每个运行中的容器在宿主机上都有一个配对的 veth 虚拟网卡（如 vethabcd12），它是容器进出网络的必经路径。只要找到它，就能无侵入地捕获该容器全部双向流量：

• 获取容器 IP 和网络命名空间路径：
  docker inspect -f '{{.NetworkSettings.IPAddress}}' my-app（例如 172.17.0.5）
  docker inspect -f '{{.State.Pid}}' my-app（用于后续 nsenter 或 eBPF）
• 快速查出对应 veth 名称：
  ip link show | grep -B1 "$(docker inspect -f '{{.NetworkSettings.Networks.bridge.MacAddress}}' my-app)" | head -1 | awk '{print $2}' | cut -d@ -f1
• 在该 veth 上抓包（仅限该容器）：
  sudo tcpdump -i vethabcd12 -n -s 0 host 172.17.0.5 -w /tmp/app.pcap
  加 port not 22 可过滤 SSH；加 tcp[tcpflags] & (tcp-syn|tcp-fin) != 0 可聚焦异常连接行为

读取内核统计接口实现零开销流量监控

若只需字节数级的实时吞吐（非原始包），无需抓包工具，直接读取 /sys/class/net/ 下的统计文件即可，延迟低、无性能影响：

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• 查容器内 eth0 的收发字节数（需进入其网络命名空间）：
  nsenter -t $(docker inspect -f '{{.State.Pid}}' my-app) -n cat /sys/class/net/eth0/statistics/rx_bytes
nsenter -t $(docker inspect -f '{{.State.Pid}}' my-app) -n cat /sys/class/net/eth0/statistics/tx_bytes
• 两次采样取差值，除以时间间隔，即得实时速率（如 B/s 或 MB/s）
• 该方式适用于长期监控、告警阈值判断等场景，比 docker stats 的 NET I/O 更底层、更精确

用 eBPF 按进程 PID 过滤抓包（高精度、低干扰）

当需区分同一容器内多个进程的流量（如 Java 应用里不同线程发起的 HTTP 请求），或规避 veth 绑定限制时，eBPF 是更优选择：

• 获取容器 init 进程 PID：
  docker inspect -f '{{.State.Pid}}' my-app（如 12345）
• 用 bpftrace 快速跟踪该 PID 的 TCP 发送行为：
  sudo bpftrace -e 'kprobe:tcp_sendmsg /pid == 12345/ { printf("OUT %s:%d → %s:%d\n", ntop(iph->saddr), ntohs(tcph->source), ntop(iph->daddr), ntohs(tcph->dest)); }'
• 也可结合 tcpreplay + tc 镜像规则，将指定 PID 流量导出到 dummy 接口后交由 Suricata 分析

交由 Suricata 做实时异常检测

原始流量抓到后，需专业 NIDS 引擎识别攻击、扫描、C2 等异常模式：

• 配置 Suricata 使用 af_packet 输入源，指向容器 veth 或 docker0 网桥：
  -i vethabcd12（单容器）或 -i docker0（全量）
• 启用规则集（如 ET Open、Emerging Threats），重点关注 http_client_body、tls.sni、flowbits 等字段匹配
• 输出日志可对接 ELK 或直接解析为 JSON，实现告警联动