Linux lsns 怎样按类型和 PID 筛选命名空间

我在排查容器网络或服务进程时，最容易被混合的命名空间输出打断：同一台主机上同时有 mnt、net、pid 等类型，默认列又可能随 util-linux 版本变化。更稳的做法是把问题拆成两个维度：先用 --type 限定种类，再用 --task 把范围收窄到一个进程，最后显式指定输出列。

lsns 读取的是当前可访问的 /proc 命名空间信息；类型过滤负责“看哪一类”，PID 过滤负责“看哪个进程持有的命名空间”，两者配合比直接记默认输出更适合排障记录。

先理解 lsns 与 /proc 命名空间的关系

Linux 命名空间把原本全局的资源视图隔离给不同进程。lsns 会从 /proc 文件系统整理当前可访问的命名空间，并把命名空间标识显示为 inode 编号。这个编号是定位关系的线索，不是业务进程的 PID，也不是可以随意改写的配置值。

这一区分很重要：文章讨论的是“查看与筛选”，不是创建或加入命名空间。遇到一个容器内进程时，先记住它有自己的 PID 视图和权限边界，宿主机上可见的结果可能比进程自己看到的更完整。

用 --type 只查看一种命名空间

当问题只涉及网络隔离，可以先筛选 net；如果关注挂载关系，则使用 mnt。lsns 手册列出的常见类型包括 mnt、net、ipc、user、pid、uts、cgroup 和 time。

# 只看网络命名空间，并显式指定排障记录需要的列
lsns --type net --output NS,TYPE,PID,NPROCS,COMMAND

# 只看挂载命名空间，避免把其它类型混到同一份输出里
lsns --type mnt --output NS,TYPE,PID,NPROCS,COMMAND

--output 让脚本或人工记录不依赖默认列；NS 是命名空间标识，TYPE 是类型，PID 和 COMMAND 帮助把它关联到进程，NPROCS 则提供该命名空间中的进程数量线索。

用 --task 把命名空间关联到进程

如果已经知道目标进程 PID，--task 比从所有命名空间中猜测更直接。下面用一个占位 PID 演示组合方式，实际使用时把它替换成要排查的进程号。

# 按一个进程查看它持有的网络命名空间
target_pid=
lsns --type net --task "$target_pid" --output NS,TYPE,PID,NPROCS,COMMAND

# 同时查看该进程涉及的各类命名空间，输出列保持稳定
lsns --task "$target_pid" --output NS,TYPE,PID,NPROCS,COMMAND

第一条命令回答“这个 PID 的网络命名空间是什么”；第二条命令回答“这个 PID 关联了哪些命名空间类型”。如果只关心一类资源，保留 --type 可以减少认知噪声。

我通常会把 NS 与目标 PID 一起记到排障单中：PID 可能随重启变化，命名空间 inode 也只代表当时可见的实例，二者都不应单独当作永久业务标识。

处理脚本输出和权限边界

需要被脚本消费时，可以进一步选择列表或 JSON 形式。不要把默认表格的空格布局当成接口契约；优先明确列名，并根据下游工具选择可读或结构化格式。

# 列出可用列名，便于确认当前环境支持哪些字段
lsns --list-columns

# 用 JSON 形式交给后续脚本处理
lsns --type pid --task "$target_pid" --output NS,TYPE,PID,NPROCS,COMMAND --json

# 只需要紧凑列表时使用 list 形式
lsns --type net --output NS,TYPE,PID --list

如果普通用户看到的进程数少、某些命名空间缺失，先不要把它判定成系统没有该对象。lsns 直接读取 /proc，未提权用户可能只能看到不完整信息；当前进程所在的 PID 命名空间和 /proc 挂载方式也会影响观察范围。必要时在明确授权的运维环境中调整查看权限，再比较同一筛选条件的结果。

相关问题

lsns 的 NS 数字是 PID 吗？

不是。NS 通常表示命名空间实例的 inode 标识，PID 是进程标识，两者用途不同。

为什么默认 lsns 输出不适合脚本？

默认输出列可能随环境变化。脚本应使用 --output 明确列，并按需要选择 --json 或 --list。

--task 只能配一个 PID 吗？

本文只采用单个目标 PID 的排障写法；如果要扩大范围，建议先明确命名空间类型和输出字段，再按工具当前版本的帮助信息设计脚本。

最后可以把方法记成一句话：先用 --type 限定资源类型，再用 --task 关联进程，最后用 --output 固定字段。这样既能减少阅读噪声，也能把一次命名空间排查整理成可复用的记录。