如何查看设备的设备号/proc/1/ns/{ns}
?
我已经阅读了 Go 库的代码(见下文),其中指出可以确定容器是否在主机命名空间中:未命名空间的设备号/proc/1/ns/{ns}
是 4,其他任何东西都更高。
现在,在没有用户命名空间或 cgroup 的新 Debian 容器中,我运行以下命令:
root@54d74f795843:/# ls -la /proc/1/ns
total 0
dr-x--x--x 2 root root 0 Feb 29 17:18 .
dr-xr-xr-x 9 root root 0 Feb 29 17:18 ..
lrwxrwxrwx 1 root root 0 Feb 29 17:18 cgroup -> 'cgroup:[4026531835]'
lrwxrwxrwx 1 root root 0 Feb 29 17:18 ipc -> 'ipc:[4026532290]'
lrwxrwxrwx 1 root root 0 Feb 29 17:18 mnt -> 'mnt:[4026532288]'
lrwxrwxrwx 1 root root 0 Feb 29 17:18 net -> 'net:[4026532293]'
lrwxrwxrwx 1 root root 0 Feb 29 17:18 pid -> 'pid:[4026532291]'
lrwxrwxrwx 1 root root 0 Feb 29 17:18 user -> 'user:[4026531837]'
lrwxrwxrwx 1 root root 0 Feb 29 17:18 uts -> 'uts:[4026532289]'
这里的 4026531837 是什么'user:[4026531837]'
意思?我不能是设备号,因为容器使用与主机相同的用户命名空间(我已经验证过)。
如何列出文件的设备号/proc/1/ns/{ns}
?该ls -la
命令显示这些文件是符号链接,那么它们怎么会有设备号呢?
amicontained/vendor/github.com/jessfraz/bpfd/proc/proc.go/
// HasNamespace determines if a container is using a particular namespace or the
// host namespace.
// The device number of an unnamespaced /proc/1/ns/{ns} is 4 and anything else is
// higher.
// Only works from inside a container.
func HasNamespace(ns string) (bool, error) {
file := fmt.Sprintf("/proc/1/ns/%s", ns)
// Use Lstat to not follow the symlink.
var info syscall.Stat_t
if err := syscall.Lstat(file, &info); err != nil {
return false, &os.PathError{Op: "lstat", Path: file, Err: err}
}
// Get the device number. If it is higher than 4 it is in a namespace.
if info.Dev > 4 {
return true, nil
}
return false, nil
}
这些数字是文件系统实现的文件的 inode 编号,
nsfs
可以打开并使用它们将setns(2)
进程与命名空间相关联。根据 systemd 问题讨论(通过 /proc/1/sched 进行虚拟化检测不再适用于 Linux 4.14+ ):