ip netns 不能直接管理 Docker 容器网络空间，需先挂载 /proc/PID/ns/net 到 /var/run/netns/ 下才能调试；该操作绕过 Docker 抽象层，仅用于原理理解与问题排查。
在 Docker 中，容器默认使用自己的网络命名空间（network namespace），但 ip netns 命令本身并不能直接管理 Docker 容器的网络空间——因为 Docker 容器的网络命名空间通常不挂载到 /var/run/netns/ 下，ip netns 默认只识别该路径下通过 ln -s 显式挂载的命名空间。所以“用 ip netns 手动管理容器网络空间”本质上是**绕过 Docker 网络抽象层，对底层 netns 进行调试或诊断的操作**，并非标准运维方式，但对理解网络原理、排查问题很有价值。
确认容器的网络命名空间路径
Docker 容器的网络命名空间位于宿主机的 /proc/[PID]/ns/net。你需要先获取容器内主进程 PID：
- 运行
docker inspect -f '{{.State.Pid}}'获取 PID（如 12345） - 检查命名空间是否可用：
ls -l /proc/12345/ns/net，输出类似net -> net:[4026532519] - 该路径是符号链接，指向内核中的 netns 实例，不能直接被
ip netns使用
将容器 netns 挂载到 /var/run/netns/ 下
只有挂载后，ip netns 才能识别并操作它：
- 创建挂载点：
sudo mkdir -p /var/run/netns - 挂载（需 root 权限）：
sudo ln -sf /proc/12345/ns/net /var/run/netns/mycontainer - 验证：
ip netns list应显示mycontainer - 注意：挂载是临时的，容器重启或宿主机重启后会失效；不要在生产环境长期依赖此方式
在容器 netns 中执行网络命令
挂载成功后，即可用 ip netns exec 进入该命名空间调试：
- 查看接口：
ip netns exec mycontainer ip addr - 查看路由：
ip netns exec mycontainer ip route - 抓包（需容器内有 tcpdump 或宿主机有对应权限）：
ip netns exec mycontainer tcpdump -i eth0 -c 5 - 临时添加路由或地址（仅限调试，Docker 重启可能覆盖）：
ip netns exec mycontainer ip route add 10.200.0.0/16 via 172.17.0.1
清理与注意事项
调试完成后建议及时清理，避免命名空间残留影响判断：
- 卸载命名空间链接：
sudo rm -f /var/run/netns/mycontainer - 确认已移除：
ip netns list不再显示该名称 - Docker 自身网络配置（如 bridge、macvlan、自定义 CNI）不受
ip netns操作影响，除非你主动修改底层 veth 对或 iptables 规则 - 若容器使用 host 网络模式（
--network=host），其 netns 就是宿主机 netns，无需挂载，ip命令可直接使用
