使用特权 Docker 容器进行内核调优

Question

我正在构建一个容器来调整负载均衡器的内核设置。我更喜欢使用单个特权容器将这些更改部署到映像中的主机。例如：

docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535

在测试中，更改生效但仅适用于该容器。我的印象是，使用完全特权的容器更改 /proc 实际上会更改底层操作系统。

$docker run --rm --privileged ubuntu:latest \
    sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535

$ docker run --rm --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128

这是特权容器应该如何工作吗？

我只是在做一些愚蠢的事情吗？

做出持久改变的最佳方法是什么？

版本信息：

Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8

挂载 /proc 的示例命令：

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

Answer 1

此特定设置受 docker 运行所在的网络命名空间的影响。

作为一般规则，/proc确实会更改与系统范围相关的设置，但从技术上讲，您正在更改/proc/net基于每个网络命名空间返回结果的设置。

请注意，这/proc/net实际上是一个符号链接，/proc/self/net因为它确实反映了您正在工作的命名空间的设置。

Answer 2

Docker 1.12+ 原生支持调整容器内的 sysctl 值。以下是文档的摘录：

在运行时配置命名空间内核参数 (sysctls)

--sysctl 在容器中设置命名空间内核参数 (sysctls)。例如，要在容器网络命名空间中打开 IP 转发，请运行以下命令：

docker run --sysctl net.ipv4.ip_forward=1 someimage

使用您的示例，正​​确的加注net.core.somaxconn方法是：

docker run ... --sysctl net.core.somaxconn=65535 ...