需先确认容器网卡存在且UP、安装tcpdump、再指定网卡抓包；若不可安装，则用静态tcpdump sidecar容器共享网络命名空间抓包。

当Pod容器内没有预装tcpdump，又需要针对特定网卡（如eth0、net1等）抓取内部流量时，直接在容器中执行抓包命令会失败；此时必须先确认容器是否具备基础网络工具、目标网卡是否存在、以及当前用户是否有足够权限执行抓包操作。

确认容器内网卡与可用性

执行 kubectl exec -it -n -- ip link show 查看所有网络接口列表。注意观察输出中是否包含目标网卡名（例如 eth0@if12 或 net1），若仅显示 lo 且无其他接口，说明该容器未配置额外网卡或使用了 hostNetwork 模式——此时无法对“特定非主网卡”抓包。

如果输出中存在类似 3: net1: 的行，则表示该网卡已启用且可被 tcpdump 监听。

安装并验证 tcpdump 可用性

根据容器基础镜像类型选择对应安装命令：

方法一（Alpine 镜像）：kubectl exec -it -n -- apk add --no-cache tcpdump

方法二（Debian/Ubuntu 镜像）：kubectl exec -it -n -- apt-get update && apt-get install -y tcpdump

方法三（CentOS/RHEL 镜像）：kubectl exec -it -n -- yum install -y tcpdump

【注意：某些 distroless 或精简镜像不支持包管理器，此时该方法不可行】

在指定网卡上执行抓包

第一步：确认目标网卡名称是否真实存在且处于 UP 状态，可通过 kubectl exec -it -n -- ip -br link show | grep UP 快速筛选。

uk8s

创建 UK8S Kubernetes 集群。通过 ucloud-cli 调用 API，自动获取 VPC/子网/版本/镜像，生成配置并创建集群。

下载

第二步：执行抓包命令，例如对 net1 抓取 100 个包并保存为 pcap：kubectl exec -it -n -- tcpdump -i net1 -c 100 -w /tmp/net1.pcap

第三步：将抓包文件导出到本地：kubectl cp /:/tmp/net1.pcap ./net1.pcap

这一步操作起来很简单，直接把文件拖进去就行。但要注意：若容器内 /tmp 不可写，需替换为其他路径（如 /var/tmp），否则 tcpdump 会因权限拒绝而静默失败。

替代方案：使用静态编译版 tcpdump 容器注入

当原容器无法安装任何软件时，可借助多容器共享网络命名空间的特性，在同一 Pod 中临时添加一个带静态 tcpdump 的 sidecar 容器。

方法一：通过 kubectl debug 创建临时容器：kubectl debug -it -n --image=addozhang/static-dump --share-processes --copy-to=sniffer

方法二：进入新容器后直接监听目标网卡：tcpdump -i net1 -c 50 -w /tmp/sniff.pcap

【关键前提：原 Pod 必须启用 shareProcessNamespace: true，否则无法看到宿主容器的进程和网络设备】