使用特权Docker容器进行内核调整

我正在建立一个容器来调整负载均衡器的内核设置。我宁愿使用单个特权容器将这些更改部署到映像中的主机。例如：

docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535

在测试中，更改仅对那个容器生效。我的印象是，使用具有完全特权的容器时，对/ proc的更改实际上会更改底层的OS。

$docker run --rm --privileged ubuntu:latest \
    sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535

$ docker run --rm --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128

这是特权容器应该如何工作的吗？

我只是在做傻事吗？

进行持久更改的最佳方法是什么？

版本信息：

Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8

安装了/ proc的示例命令：

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

此特定设置受docker运行所在的网络名称空间的影响。

一般来说/proc，更改系统范围内的设置是一个普遍的规则，但是从技术上来讲，您正在更改设置，/proc/net以每个网络名称空间为基础返回结果。

请注意，/proc/net实际上这是一个符号链接，/proc/self/net因为它确实反映了您在其中进行工作的名称空间的设置。

Docker 1.12+具有对容器内sysctl值进行调整的本地支持。以下是文档摘录：

在运行时配置命名空间的内核参数（sysctls）

--sysctl在容器中设置命名空间的内核参数（sysctls）。例如，要在容器网络名称空间中打开IP转发，请运行以下命令：

docker run --sysctl net.ipv4.ip_forward=1 someimage

使用您的示例，正​​确的筹集方法net.core.somaxconn将是：

docker run ... --sysctl net.core.somaxconn=65535 ...

特权容器仍在使用其自己的进程名称空间/proc。您可以做的是将real /proc安装在容器中：

docker run --rm --privileged -v /proc:/host-proc ubuntu:latest \
  'echo 65535 > /host-proc/sys/net/core/somaxconn'

这适用于Docker 1.5.0：

docker run --privileged --net=host --rm ubuntu:latest /bin/sh -c \
   'echo 65535 > /proc/sys/net/core/somaxconn'