amazon/amazon-ecs-network-sidecar

Amazon ECS网络Sidecar（V2）

功能概述

本容器旨在部署到与目标容器相同的网络命名空间中，为用户提供便捷的网络故障排除工具。根据Docker设计原则，应用容器通常轻量化，缺乏直接可用的诊断工具，而本工具无需直接访问目标容器或安装额外软件，即可执行抓包、路由检测等操作。

核心功能

提供多种网络诊断工具，包括：

• tcpdump：网络包捕获工具
• traceroute：路由路径与延迟检测
• telnet：虚拟终端通信工具
• nmap：端口扫描工具
• bind-utils：DNS工具（dig、nslookup）
• iperf3：网络性能测试工具
• net-tools：基础网络工具（ifconfig、netstat）
• iproute2：高级网络工具（ip命令）
• dhcping：DHCP服务器检测工具
• ethtool：网络接口参数管理工具
• mtr：综合ping与traceroute的工具
• iftop：网络连接带宽监控工具
• ctop：多容器实时指标监控工具
• curl：数据传输工具

使用场景

1. 排查EC2上运行的容器网络问题
2. Fargate任务中的容器网络诊断
3. 主机网络问题分析
4. DNS解析、端口连通性、带宽性能等故障排查

配置说明

• SIDECAR_RUN_MODE：容器运行模式，可选SSH_KEY或SLEEPER；使用SSH_KEY时需配合SIDECAR_KEY_STR
• SIDECAR_KEY_STR：注入到authorized_keys的公钥内容，建议通过secrets传递

部署方法

主机访问场景

1. 用docker ps获取目标容器ID
2. 启动sidecar容器：

shell
docker run -it --rm --net container:目标容器ID public.ecr.aws/aws-se/amazon-ecs-network-sidecar /usr/bin/zsh

3. 主机网络命名空间部署：

shell
docker run -it --rm --net host public.ecr.aws/aws-se/amazon-ecs-network-sidecar /usr/bin/zsh

ECS Fargate场景

在任务定义中添加sidecar容器：

json
{
  "name": "sidecar",
  "image": "public.ecr.aws/aws-se/amazon-ecs-network-sidecar",
  "essential": false,
  "environment": [
    {
      "name": "SIDECAR_RUN_MODE",
      "value": "SLEEPER"
    }
  ],
  "linuxParameters": {
    "initProcessEnabled": true
  }
}

通过ECS Exec连接：

shell
aws ecs execute-command --cluster 集群名 --task 任务ID \
    --container sidecar --interactive --command /usr/bin/zsh

迁移说明

与V1版本相比的差异：

• 基于Amazon Linux 2022构建
• 移除unicornscan工具
• 默认shell改为zsh（使用purer提示符）
• 不推荐OpenSSH密码认证，未来将弃用，建议使用密钥或ECS Exec
• 支持ARM64和X86_64架构，无需单独arm64v8标签

示例用例

tcpdump抓包

shell
tcpdump -i eth0 -s 65535 -w capture.pcap

可将捕获的pcap文件导出到S3（需任务角色有S3权限）。

traceroute路径检测

shell
traceroute -n aws.amazon.com

nmap端口扫描

shell
nmap -p 443 google.com

dig DNS解析

shell
dig amazon.com +short

ctop容器监控（仅EC2/主机场景）

shell
docker run -it --rm -v /var/run/docker.sock:/var/run/docker.sock public.ecr.aws/aws-se/amazon-ecs-network-sidecar ctop