docker 是一种容器化技术，可以用于快速部署和运行应用程序，但是在实际运行过程中，我们有时需要了解 docker 容器的进出报文，以更好地监控和管理容器。
本文将介绍如何抓取 Docker 容器的进出报文，包括使用 tcpdump 和 Wireshark 抓包两种方式。
一、使用 tcpdump 抓包
- 安装 tcpdump
在 Linux 系统中使用以下命令安装 tcpdump：
sudo apt-get install tcpdump
- 找到目标容器的 ID
使用以下命令获取正在运行的容器 ID：
docker ps
- 进入容器
使用以下命令进入容器的 Shell 环境：
docker exec -it <ContainerID> /bin/bash
其中，<containerid></containerid> 为目标容器的 ID。
- 抓包
在容器内执行以下命令抓取进出报文：
tcpdump -i any -s 0 -w /tmp/docker.pcap
其中，-i any 表示监听所有网卡，-s 0 表示抓取所有数据包，-w 参数指定将抓取的报文写入指定文件中。在上述命令中，我们将进出报文写入 /tmp/docker.pcap 文件中。
- 退出容器
在容器内执行以下命令退出容器：
exit
- 复制 pcap 文件到本地
使用以下命令将容器中的 /tmp/docker.pcap 文件复制到本地：
docker cp <ContainerID>:/tmp/docker.pcap .
其中，<containerid></containerid> 为目标容器的 ID。
- 查看报文
使用 Wireshark 打开 docker.pcap 文件，即可查看容器的进出报文。
二、使用 Wireshark 抓包
- 安装 Wireshark
在 Linux 系统中使用以下命令安装 Wireshark：
sudo apt-get install wireshark
- 找到目标容器的 IP 地址
使用以下命令获取正在运行的容器 IP 地址：
docker inspect <ContainerID> | grep IPAddress
其中，<containerid></containerid> 为目标容器的 ID。
- 运行 Wireshark
在终端中输入以下命令启动 Wireshark：
sudo wireshark
进入 Wireshark 界面后，选择需要监听的网卡，然后输入下面的过滤器：
ip.addr == <ContainerIP>
其中，<containerip></containerip> 为目标容器的 IP 地址。
- 抓包
开始抓取容器的进出报文，在 Wireshark 中点击“开始捕获”按钮。
- 查看报文
在 Wireshark 中即可查看容器的进出报文。
本文介绍了使用 tcpdump 和 Wireshark 抓取 Docker 容器的进出报文的方法，可以帮助我们更好地监控和管理 Docker 容器。同时，需要注意抓包可能存在一定的风险，应该谨慎使用。
