Kubernetes Pod 抓包可借助命名空间隔离

是什么

视频介绍 Kubernetes 中针对单个 Pod 的网络抓包思路：先确认目标 Pod 的容器 ID 与所在节点，再登录该节点，通过进入目标容器的网络命名空间执行抓包。

关键内容

直接在节点执行 TCPDump 会看到节点上的多类网络流量，难以区分目标 Pod。视频称可借助名为 NSNTR 的命名空间工具，指定容器相关进程后进入其网络命名空间；此后执行 TCPDump，便可观察该容器相关的数据包。示例以 nginx Pod 为对象，并用 curl 请求其 IP，展示 HTTP 请求、响应及 TCP 建连、断连数据。

可借鉴之处

排障时先缩小观测边界，再采集流量，能降低节点共享网络环境中的噪声。容器 ID、节点定位、网络命名空间三者构成了可复用的排查路径。

边界与风险

转写中的工具名和具体命令存在明显识别误差，不能据此直接复制执行。容器运行时、网络插件与权限模型会影响实际操作；抓包也可能采集敏感载荷，应限定对象、时长、保存位置与访问权限。