Điều chỉnh hạt nhân với Docker đặc quyền

Tôi đang xây dựng một thùng chứa để điều chỉnh cài đặt kernel cho bộ cân bằng tải. Tôi muốn triển khai những thay đổi đó đến máy chủ lưu trữ trong một hình ảnh bằng cách sử dụng một thùng chứa đặc quyền duy nhất. Ví dụ:

docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535

Trong thử nghiệm các thay đổi có hiệu lực nhưng chỉ đối với container đó. Tôi có ấn tượng rằng với một bộ chứa đặc quyền hoàn toàn thay đổi thành / Proc sẽ thực sự thay đổi hệ điều hành cơ bản.

$docker run --rm --privileged ubuntu:latest \
    sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535

$ docker run --rm --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128

Đây có phải là cách các container đặc quyền được cho là để làm việc?

Tôi chỉ đang làm điều gì đó ngớ ngẩn?

Cách tốt nhất để thực hiện các thay đổi lâu dài là gì?

Thông tin phiên bản:

Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8

Lệnh ví dụ với mount / Proc:

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

Cài đặt cụ thể này nằm dưới ảnh hưởng của không gian tên mạng mà docker chạy.

Vì quy tắc chung /procsẽ thay đổi các cài đặt có liên quan trên toàn hệ thống, về mặt kỹ thuật, tuy nhiên, bạn đang thay đổi các cài đặt trong /proc/netđó trả về kết quả trên cơ sở không gian tên trên mỗi mạng.

Lưu ý rằng đó /proc/netthực sự là một liên kết tượng trưng /proc/self/netvì nó thực sự phản ánh các cài đặt của không gian tên mà bạn đang thực hiện công việc.

Docker 1.12+ có hỗ trợ riêng để điều chỉnh các giá trị sysctl bên trong các thùng chứa. Đây là một đoạn trích từ tài liệu :

Cấu hình các tham số kernel được đặt tên (sysctls) khi chạy

--Sysctl đặt các tham số kernel được đặt tên (sysctls) trong vùng chứa. Ví dụ: để bật chuyển tiếp IP trong không gian tên mạng container, hãy chạy lệnh này:

docker run --sysctl net.ipv4.ip_forward=1 someimage

Sử dụng ví dụ của bạn, cách nâng cao chính xác net.core.somaxconnsẽ là:

docker run ... --sysctl net.core.somaxconn=65535 ...

Container đặc quyền vẫn đang sử dụng không gian tên quy trình riêng của nó cho /proc. Những gì bạn có thể làm là gắn kết thực /procbên trong container:

docker run --rm --privileged -v /proc:/host-proc ubuntu:latest \
  'echo 65535 > /host-proc/sys/net/core/somaxconn'

Điều này hoạt động với tôi với Docker 1.5.0:

docker run --privileged --net=host --rm ubuntu:latest /bin/sh -c \
   'echo 65535 > /proc/sys/net/core/somaxconn'