如何在Docker容器中以非root用户运行tcpdump？

问题背景 #

要构建包含tcpdump的Docker镜像，让非root用户直接运行tcpdump以符合安全要求，但按提供的Dockerfile构建并运行容器时，出现错误：

exec /usr/bin/tcpdump: operation not permitted

原因分析 #

Docker默认会限制容器的权限（capabilities），即使在镜像内给tcpdump二进制文件添加了cap_net_raw和cap_net_admin能力，容器启动时默认不会保留这些特权能力，导致非root用户无法执行需要权限的操作。

解决方案 #

运行容器时，需要显式为容器添加所需的权限：

方法一：运行容器时添加capabilities #

执行以下命令启动容器：

docker run --rm -it --cap-add=NET_RAW --cap-add=NET_ADMIN tcpdump

--cap-add=NET_RAW和--cap-add=NET_ADMIN会授予容器对应的网络特权，让tcpdump能正常捕获数据包。

方法二（可选）：优化Dockerfile并配合运行参数 #

可以简化Dockerfile中的组权限设置（添加cap后，组权限不是必须的，但保留也不影响），核心还是运行时添加capabilities：

FROM debian:bullseye

ENV DEBIAN_FRONTEND noninteractive

RUN apt-get update -qq \
  && apt-get install -y tcpdump libcap2-bin \
  && apt-get clean -y && apt-get autoremove -y \
  && rm -rf /var/lib/apt/lists/*

RUN adduser --system --uid 1001 user --shell /bin/bash
RUN setcap cap_net_raw,cap_net_admin=eip /usr/bin/tcpdump

USER user

ENTRYPOINT ["/usr/bin/tcpdump"]

依然需要用带--cap-add的命令启动容器才能正常运行。

补充说明 #

容器镜像的不可变性确实让修改tcpdump权限/组的操作不会被系统升级覆盖，但核心问题还是Docker的容器权限隔离策略，必须显式授予容器所需的特权能力才能让非root用户运行tcpdump。

内容的提问来源于stack exchange，提问作者slhck