Linux nsenter 怎么同时进入目标进程的 network 和 mount namespace

如果只用 nsenter --net 进入目标进程，看到的是它的网络命名空间；当排查容器或服务的路径、挂载点时，还需要同时进入 mount namespace。最小做法是给同一个目标 PID 加上 --net 和 --mount，再启动一个检查 shell。

官方文档：https://man7.org/linux/man-pages/man1/nsenter.1.html

把 --target PID 当作命名空间来源，把 --net 和 --mount 当作要进入的两个视图；只检查时用 shell、ip 和 mountinfo，先不要在里面执行修改挂载的命令。

先区分 network 与 mount namespace

network namespace 负责独立的网络栈、路由表、规则、套接字以及网络相关的 proc 和 sys 视图；mount namespace 负责进程看到的挂载树。两者是不同的隔离对象，所以只进入网络命名空间并不能保证你看到目标进程相同的文件路径。

--target PID 会把目标进程的命名空间文件作为默认来源：网络对应 /proc/PID/ns/net，挂载对应 /proc/PID/ns/mnt。不传额外文件参数时，--net 与 --mount 都取这个目标 PID 的对应视图。

用 --target、--net 与 --mount 组合进入

下面的命令只把检查动作放进目标视图。-- 用来结束 nsenter 自身的选项，后面的 /bin/sh 是要启动的程序；如果目标进程需要更高权限，命令本身可能因为打开 /proc/PID/ns/* 或调用 setns 失败。

# PID 替换成待排查进程；--net 和 --mount 都从这个 PID 取命名空间
PID=1234
nsenter --target "$PID" --net --mount -- /bin/sh

# 先用只读信息确认当前 shell 看到的网络与挂载视图
ip addr
cat /proc/self/mountinfo

这条命令的关键不是参数顺序，而是三个参数指向同一个目标：--target "$PID" 提供来源，--net 选择网络视图，--mount 选择挂载视图。如果只写 --net，后续的文件路径检查仍可能停留在调用者自己的 mount namespace。

需要一次性运行检查脚本时，可以把 shell 换成脚本路径。脚本应先读取信息，再根据结果决定下一步，不要把未确认的挂载修改直接放进排障入口。

把检查命令放进目标视图

进入后可以把检查拆成两组：网络侧看地址、链路和路由；文件侧看 /proc/self/mountinfo、目标路径是否存在以及挂载点的传播属性。这里的 self 指的是 nsenter 启动的检查进程，它比直接读取调用者的路径更接近目标进程的视图。

# 在已进入的 shell 中分别核对网络和挂载信息
printf '%s\n' '--- network view ---'
ip route

printf '%s\n' '--- mount view ---'
# mountinfo 用于确认当前检查进程实际看到的挂载树
grep -E ' /proc | /sys | /etc ' /proc/self/mountinfo || true

这一步只能说明“检查进程看到了什么”，不等于已经验证业务进程的全部行为。尤其是目标程序可能使用了不同的 root、working directory 或环境变量；这些属于 --root、--wd、--env 等另一层选择，不能用 --mount 自动替代。

处理权限、共享挂载和退出边界

第一，命名空间文件通常需要足够权限才能打开和加入；在容器、不同用户或受限 capability 场景中，nsenter 失败不一定是参数写错。第二，mount namespace 并不意味着所有挂载变化永远只在本视图内：共享挂载会把特定变更传播到其他相关挂载树，所以本文只建议先读信息，不建议直接做 mount、umount 或递归修改。

第三，--all 会尝试进入目标进程的全部命名空间，排障范围更大，也更容易带来权限和身份变化。只需要网络与文件视图时，显式写 --net --mount 更容易复查。完成检查后退出 shell，nsenter 启动的检查进程也随之结束。

相关问题

为什么只加 --net 仍然找不到目标进程的文件？

因为 --net 只切换网络命名空间，没有切换 mount namespace。把同一个目标 PID 交给 --mount，再用 /proc/self/mountinfo 检查。

--mount 进入后修改挂载一定不会影响宿主吗？

不一定。共享挂载存在传播边界，挂载变更可能沿共享关系传播。排障阶段先读信息；涉及修改时先确认传播属性、权限和回滚方式。

什么时候应该使用 --all？

只有确实需要目标进程全部命名空间时才考虑。只排查网络和文件路径时，显式使用 --net --mount 范围更小、权限影响也更容易解释。

总结一下：同一 PID 是来源，--net 进入网络视图，--mount 进入文件路径视图；先用只读检查命令确认两个视图，再决定是否需要额外处理 root、工作目录或权限。