Ich bin etwas verblüfft, dass in einem Docker-Container lsof -ikeine Ausgabe erfolgt.
Beispiel (alle Befehle / Ausgaben aus dem Container):
[1] root@ec016481cf5f:/# lsof -i
[1] root@ec016481cf5f:/# netstat -tulpn
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN -
tcp6 0 0 :::22 :::* LISTEN -
Bitte beachten Sie auch, dass kein PID- oder Programmname angezeigt wird netstat. fusergibt auch etwas verwirrende Ausgabe und ist nicht in der Lage, die PIDs auch zu lokalisieren.
Kann jemand Licht ins Dunkel bringen?
- Wie kann ich ersetzen
lsof -i(um auch den Prozessnamen zu sehen !) - Warum ist die Ausgabe von auch
netstatverkrüppelt?
Hinweis: Der Container wird mit der "ExecDriver": "native-0.1"Docker-eigenen Ausführungsebene ausgeführt, nicht mit LXC.
[1] root@ec016481cf5f:/# fuser -a4n tcp 22
Cannot stat file /proc/1/fd/0: Permission denied
Cannot stat file /proc/1/fd/1: Permission denied
Cannot stat file /proc/1/fd/2: Permission denied
Cannot stat file /proc/1/fd/3: Permission denied
Cannot stat file /proc/1/fd/255: Permission denied
Cannot stat file /proc/6377/fd/0: Permission denied
Cannot stat file /proc/6377/fd/1: Permission denied
Cannot stat file /proc/6377/fd/2: Permission denied
Cannot stat file /proc/6377/fd/3: Permission denied
Cannot stat file /proc/6377/fd/4: Permission denied
22/tcp:
(Ich bin nicht besessen von der Permission denied, weil diese Zahlen. Was mich verwirrt, ist die leere Liste der PIDs nach 22/tcp.)
# lsof|awk '$1 ~ /^sshd/ && $3 ~ /root/ {print}'
sshd 6377 root cwd unknown /proc/6377/cwd (readlink: Permission denied)
sshd 6377 root rtd unknown /proc/6377/root (readlink: Permission denied)
sshd 6377 root txt unknown /proc/6377/exe (readlink: Permission denied)
sshd 6377 root 0 unknown /proc/6377/fd/0 (readlink: Permission denied)
sshd 6377 root 1 unknown /proc/6377/fd/1 (readlink: Permission denied)
sshd 6377 root 2 unknown /proc/6377/fd/2 (readlink: Permission denied)
sshd 6377 root 3 unknown /proc/6377/fd/3 (readlink: Permission denied)
sshd 6377 root 4 unknown /proc/6377/fd/4 (readlink: Permission denied)
sshd 6442 root cwd unknown /proc/6442/cwd (readlink: Permission denied)
sshd 6442 root rtd unknown /proc/6442/root (readlink: Permission denied)
sshd 6442 root txt unknown /proc/6442/exe (readlink: Permission denied)
sshd 6442 root 0 unknown /proc/6442/fd/0 (readlink: Permission denied)
sshd 6442 root 1 unknown /proc/6442/fd/1 (readlink: Permission denied)
sshd 6442 root 2 unknown /proc/6442/fd/2 (readlink: Permission denied)
sshd 6442 root 3 unknown /proc/6442/fd/3 (readlink: Permission denied)
sshd 6442 root 4 unknown /proc/6442/fd/4 (readlink: Permission denied)
sshd 6442 root 5 unknown /proc/6442/fd/5 (readlink: Permission denied)
Es gibt noch etwas mehr Ausgabe für den verbundenen Benutzer, die ebenfalls korrekt identifiziert wird, aber das war's. Es ist anscheinend unmöglich zu erkennen, von welchem Typ ( lsof -iBegrenzung auf Internet-Sockets) ein bestimmtes "Objekt" ist.
quelle
lsofBericht? Das Gleiche?sshd-bezogenen) Zeilen angezeigt, von denen einige TCP-Sockets sein könnenTYPEunknown. Eigenartig. Die Ausgabe an meine Frage anhängen.strace -s 2000 -o lsof.log lsof -iSie wahrscheinlich einige zusätzliche Einblicke in das, was blockiert wird.stracesich dieser in dem Behälter befindet. Spannende neue Sachen zum Lernen. Vielen Dank für Ihre Idee. Muss aber aufs Bett gehen.Antworten:
(HINWEIS: Es ist unklar, wie der Fragesteller in den Docker-Container eintritt. Ich gehe davon aus, dass er
docker exec -it CONTAINER bashverwendet wurde.)Ich hatte dieses Problem, als ich ein Docker-Image verwendet habe, das auf der
centos:7Docker-Version basiert. Um dies1.9.0zu überwinden, habe ich Folgendes ausgeführt:docker exec --privileged -it CONTAINER bashBeachten Sie die Aufnahme von
--privileged.Mein naives Verständnis des Grundes, warum dies erforderlich ist: Es scheint, dass Docker sich bemüht, den Container "sicherer" zu machen, wie hier dokumentiert .
quelle
Hah, die Handlung verdickt sich. Wenn jemand eine bessere Antwort hat, schreibe sie bitte auf und ich akzeptiere sie, falls akzeptabel. Aber hier der offensichtliche Grund. Wie nachlässig von mir, die Protokolldateien auf dem Host zu ignorieren :
Apparmor scheint also der Schuldige zu sein, obwohl ich herausfinden muss, wie ich es davon überzeugen kann, dies zuzulassen, ohne die Sicherheit von Host / Container zu beeinträchtigen, oder zu prüfen, ob dies überhaupt möglich ist, ohne die Sicherheit zu beeinträchtigen.
quelle
Eine andere Möglichkeit, diesmal mit einer detaillierteren Sicherheitseinstellung: Gewähren Sie dem Docker-Container das Privileg SYS_PTRACE:
quelle
lsofbrauchtCAP_SYS_PTRACE: Es muss gelesen werden/proc/*/stat. Siehe ptrace (2)Ich habe dieses Problem auch gefunden. Das Problem ist , nachdem ich deaktiviert gegangen
apparmoraufdocker:Referenz-URL: https://help.ubuntu.com/community/AppArmor
quelle
aa-complaintut oder eine Dokumentation, die diese Lösung unterstützt).apparmor. Ich habe es nur gegoogelt und einen Weg gefunden, es zu deaktivieren. Mit anderen Worten, ich weiß nicht, warum es funktioniert oder warum es nicht funktioniert hat. Mein Host-Betriebssystem ist Ubuntu 14.04, daher habe ich nach "ubuntu apparmor" gesucht und help.ubuntu.com/community/AppArmor gefunden . Ich hoffe das wäre hilfreich für dich.sudo aa-complain /etc/apparmor.d/docker. Grundsätzlich wird die App-Rüstung für den Docker-Prozess deaktiviert, was bedeutet, dass Docker alle Dateien auf dem System lesen kann. Bisher konnte es nur mit Dateien funktionieren, die im Profil zulässig waren. Eine bessere Lösung könnte darin bestehen, die App-Rüstungsregeln zu ändern, die den Zugriff auf die Dateien / proc / pid / fd ermöglichen.