最无侵入的kubernetes抓包方式是用nsenter进入容器netns：不改镜像、不重启pod、复用宿主机tcpdump，仅需登录节点并执行nsenter -n -t 后抓包。
直接在运行中的容器里装 tcpdump 或重启加 sidecar，既不安全又可能中断服务。真正“无侵入”的抓包，核心是不改动原容器、不中断业务、不依赖容器镜像自带工具，靠的是复用容器的网络命名空间，用宿主机已有能力完成诊断。
用 nsenter 进入容器 netns 抓包
这是最通用、权限要求最低的方式。只要能登录到 Pod 所在节点，且节点装了 util-linux（含 nsenter）和 tcpdump，就能操作。
- 先查 Pod 所在节点和容器 runtime ID：
kubectl get pod -n <ns><pod-name> -o wide</pod-name></ns> - 登录对应节点，根据 runtime 获取 PID：
• Docker：docker inspect -f '{{.State.Pid}}' <container-id></container-id>
• containerd：crictl inspect <container-id> | jq -r '.info.pid'</container-id> - 用 nsenter 切入网络命名空间：
nsenter -n -t <pid></pid>，此时ip a看到的就是容器视角的网卡（如 eth0） - 直接运行：
tcpdump -i eth0 -s 0 -w /tmp/pod-traffic.pcap port 8080
用 kubectl debug 启临时容器抓包
适合无法登录节点、但有集群管理员权限的场景。Kubernetes 原生支持，无需提前部署工具镜像。
- 命令一键注入调试容器：
kubectl debug -it <pod-name> --image=nicolaka/netshoot --target=<main-container-name></main-container-name></pod-name> - 进入后直接使用
tcpdump、curl、netstat等工具，所有操作都在独立进程里，主容器完全不受影响 - 退出即销毁，不留残留，也不修改原 Pod spec
在宿主机 veth 接口上镜像抓包
适用于排查跨节点通信、CNI 插件行为或想看“进出容器前最后一段”的流量。
- 进容器查 iflink：
cat /sys/class/net/eth0/iflink→ 得到数字如12345 - 在宿主机执行：
ip link | grep 12345→ 找到对应 veth 接口名（如vethabc123@if12345） - 在该 veth 上抓包：
tcpdump -i vethabc123 -w /tmp/veth-traffic.pcap，抓到的是经过 Linux bridge 或 CNI 的原始帧
注意事项与避坑点
无侵入 ≠ 无代价，几个关键细节决定是否真“零干扰”：
- 抓包本身会消耗 CPU 和磁盘 I/O，建议加过滤条件（如
host 10.96.0.10 and port 53），避免全量捕获 - distroless 容器无法 exec，
kubectl debug是唯一可行方案；alpine 容器若没装 tcpdump，nsenter 方式仍可用（因调用宿主机二进制） - 某些安全策略禁用
nsenter或限制ptrace，需确认节点 SELinux/AppArmor 配置是否放行
