在IDC运维中，容器进程因资源耗尽、死锁、代码Bug等原因卡死是常见故障。此时容器的控制台可能无法执行新命令（如docker exec失败），需要借助底层Linux工具进入终端进行调试。本文提供三种经过验证的调试方法。
docker exec（常规情况）若容器内进程卡死但容器本身未完全崩溃，可尝试在宿主机执行：
docker exec -it <容器ID> /bin/sh若执行失败（常因进程表满或内存不足），则换用方法二。
nsenter进入容器命名空间nsenter可绕过容器引擎直接进入容器的PID、网络等命名空间。操作步骤如下：
docker inspect <容器ID> | grep Pid，记录PID值（如12345）。nsenter -t 12345 -m -u -i -n -p ，此时已进入容器的bash环境。top、strace、gdb等工具分析卡死进程。注意：宿主机需要安装util-linux包（通常预装）。
crictl（Kubernetes环境）对于K8s管理的容器，推荐使用CRI工具：
crictl exec -it <容器ID> sh若上述均无效，可尝试用crictl attach或直接调试Pod的沙箱命名空间。
strace追踪系统调用：例如strace -p ，观察进程是否阻塞在syscall上。nsenter需要root权限，建议通过sudo或sudosu执行。容器进程卡死时，优先尝试docker exec，失败后使用nsenter或crictl进入容器命名空间。配合strace/gdb可快速定位死锁、资源泄漏等问题。掌握这些方法能有效缩短故障排查时间，提升IDC运维效率。
企业微信
微信公众号
