Docker容器中Netlink API运行失败（ECONNREFUSED）问题求助

核心问题原因 #

你的程序基于NETLINK_CONNECTOR（配合CN_IDX_PROC）实现进程事件监控，这类Netlink通信直接与内核proc事件子系统交互，而非普通网络层Netlink。出现ECONNREFUSED的关键原因：

1. 代码中使用send()而非sendto()指定内核目标地址，在容器隔离的网络命名空间下无法正确路由消息到内核proc连接器；
2. 容器缺少必要权限，仅NET_ADMIN和NET_RAW不足以访问内核proc事件子系统。

解决方案 #

1. 修改代码：明确指定内核目标地址 #

Netlink CONNECTOR消息必须明确发送到内核（固定nl_pid=0），替换原send()调用为sendto()，修改ham_process_netlink()中的发送逻辑：

// 新增内核目标地址配置
struct sockaddr_nl dest_nla;
memset(&dest_nla, 0, sizeof(dest_nla));
dest_nla.nl_family = AF_NETLINK;
dest_nla.nl_pid = 0;  // 内核进程ID固定为0
dest_nla.nl_groups = CN_IDX_PROC;

// 替换原send()为sendto()
if (sendto(sk_nl, nl_hdr, nl_hdr->nlmsg_len, 0, 
           (struct sockaddr *)&dest_nla, sizeof(dest_nla)) != nl_hdr->nlmsg_len) {
    ret = -4;
    err_no = errno;
    ham_debug("%s: send proc connector msg fail: %s\n", __func__, strerror(errno));
    goto fail;
}

2. 容器启动时配置最小必要权限 #

仅NET_ADMIN和NET_RAW不足以访问内核proc事件子系统，需补充CAP_SYS_ADMIN权限，最终启动命令示例：

docker run --cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_ADMIN your-image-name

3. 验证宿主机内核配置 #

确保宿主机内核开启了proc事件支持，执行以下命令检查：

grep CONFIG_PROC_EVENTS /boot/config-$(uname -r)

输出应为CONFIG_PROC_EVENTS=y，若显示未开启，需重新编译内核启用该选项。

额外说明 #

• --net=host --privileged能工作的原因：前者让容器共享主机网络命名空间，后者直接赋予所有权限，绕过了隔离限制，但不符合最小权限原则；
• 若仅需监控容器自身PID命名空间内的进程，上述修改后即可在独立网络命名空间下正常运行；若要监控主机进程，需添加--pid=host参数（会打破PID隔离）。

内容的提问来源于stack exchange，提问作者Kevin Mai