<p>ip netns exec 用于在已命名且挂载于 /var/run/netns/ 的网络命名空间中执行命令，需先用 ip netns list 确认存在，再运行如 ip netns exec net1 ip addr show；对 Docker 等非 ip netns 创建的命名空间，应改用 nsenter -n -t <PID> -- ip addr show。</p>
要在指定网络命名空间内执行命令，比如查看容器内部的IP配置、测试网络连通性或调试路由表，必须绕过容器镜像精简导致的命令缺失问题，直接复用宿主机的完整网络工具链。
用 ip netns exec 在已命名的网络命名空间中运行命令
该方法仅适用于已通过 ip netns add 创建、且软链接存在于 /var/run/netns/ 目录下的命名空间。
第一步：确认目标命名空间存在
运行 ip netns list，输出中必须包含你要操作的名称（如 net1），否则后续命令会报错“Cannot open network namespace”。
第二步：在命名空间内执行基础网络命令
输入 ip netns exec net1 ip addr show，即可看到该命名空间内的全部网络接口及IP地址。
第三步：执行带参数的复合命令
例如启动一个交互式 shell 并保持环境变量： ip netns exec net1 env -i PATH=/bin:/usr/bin /bin/bash。注意不加 env -i 会导致宿主机的环境变量污染命名空间内进程行为。
方法一失败时常见原因：命名空间虽存在但未挂载到 /var/run/netns/。此时需手动创建软链接，否则 ip netns 完全不可见该空间。
用 nsenter 进入任意进程所属的网络命名空间
当目标是 Docker 或 LXC 容器这类由运行时自动创建命名空间的场景，ip netns 无法识别——因为它们的网络命名空间没被软链接到标准路径。这时必须用 nsenter 直接绑定进程描述符。
方法1：根据容器 PID 进入其网络命名空间
先查容器主进程 PID：docker inspect -f '{{.State.Pid}}' mycontainer，假设返回 12345；
再执行：nsenter -n -t 12345 --preserve-credentials -- ip addr show。【-n 参数不可省略，否则不会进入网络命名空间】
方法2：跳过 PID 查找，直接使用 proc 文件系统路径
若已知进程 PID 为 12345，可等价写成：nsenter -n -F /proc/12345/ns/net -- ip route。这种写法更底层，绕过了 PID 检查机制，适合 PID 被回收但命名空间仍存活的边缘情况。
方法3：同时进入多个命名空间以获得完整容器视角nsenter -m -u -i -n -t 12345 --preserve-credentials /bin/bash。这会同时进入 mount、UTS、IPC 和 net 命名空间，效果接近容器内真实 shell 环境。但注意：【--preserve-credentials 必须带上，否则普通用户可能因权限不足无法访问某些 proc 接口】
验证命令是否真正在目标命名空间中执行
最可靠的验证方式是比对路由表或网络接口状态。
在宿主机执行：ip route show，记录默认网关和主网卡路由条目；
再在目标命名空间中执行相同命令：ip netns exec net1 ip route show 或 nsenter -n -t 12345 -- ip route show；
两者输出必须完全不同——如果完全一致，说明你仍在宿主机默认命名空间里执行，操作路径有误。
另一个快速判断法：执行 hostname。在 UTS 命名空间隔离的容器中，它会返回容器内设置的 hostname，而非宿主机名；若返回宿主机名，说明 -u（UTS）参数未生效或未进入正确上下文。
