另外分享一个经验，结构体 nsproxy 的 net 字段（代表进程所在的网络命名空间）在追踪网络包在宿主机 -> 容器传递过程时尤其有用，可以比较清楚的看到网络包从宿主机的网络命名空间传递到容器独立的网络命名空间之中，协助更好的理解容器网络模型。（把网络设备名字也打印出来会更好。） 倪老师文中的示例程序 execsnoop-container.bt 使用了结构体 nsproxy 的 pid_ns_for_children 获取 PID 命名空间，稍微改动了一下，换成 NET 命名空间，把具体的 id 打出来。 输出示例（shell1 执行 docker run ... bash, shell2 追踪 execve 事件，可以看到 bash 进程在一个新的网络命名空间下执行。）： shell 1 # docker exec -ti vibrant_jepsen bash root@c340ba5cb9de:/# shell2 # # ./execve.bt Attaching 3 probes... NETNS CONTAINER PPID PID COMM ARGS 4026531993 VM-56-211-centos 799603 181059 bash docker exec -ti vibrant_jepsen bash ... 4026532351 c340ba5cb9de 181078 181083 runc:[2:INIT] bash 具体源码： ====================================== #!/usr/bin/env bpftrace #include <linux/sched.h> #include <linux/nsproxy.h> #include <linux/utsname.h> //#include <linux/pid_namespace.h> #include <net/net_namespace.h> BEGIN { printf("%-12s %-18s %-6s %-6s %-16s %s\n", "NETNS", "CONTAINER", "PPID", "PID", "COMM", "ARGS"); } tracepoint:syscalls:sys_enter_execve, tracepoint:syscalls:sys_enter_execveat { $task = (struct task_struct *)curtask; $netns = $task->nsproxy->net_ns->ns.inum; //$pidns = $task->nsproxy->pid_ns_for_children->ns.inum; $cname = $task->nsproxy->uts_ns->name.nodename; printf("%-12ld %-18s %-6d %-6d %-16s", (uint64)$netns, $cname, curtask->parent->pid, pid, comm); join(args->argv); }