Налаштування ядра з привілейованим контейнером Docker

Я будую контейнер для налаштування параметрів ядра для балансира навантаження. Я вважаю за краще розгорнути ці зміни на хості у зображенні за допомогою одного привілейованого контейнера. Наприклад:

docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535

При тестуванні зміни набувають чинності, але тільки для цього контейнера. У мене склалося враження, що з повністю привілейованими змінами контейнера в / proc фактично зміниться основна ОС.

$docker run --rm --privileged ubuntu:latest \
    sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535

$ docker run --rm --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128

Як це повинні працювати пільгові контейнери?

Я просто щось дурне роблю?

Який найкращий спосіб внести тривалі зміни?

Інформація про версію:

Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8

Приклад команди із змонтованим / proc:

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

Цей конкретний параметр підпадає під вплив мережевого простору імен, в якому працює докер.

Як правило /proc, змінюються налаштування, що відносяться до системи, але технічно кажучи, ви змінюєте налаштування, в /proc/netяких повертає результати на основі простору мереж імен.

Зверніть увагу, що /proc/netнасправді є символьним посиланням на те, /proc/self/netяк воно насправді відображає параметри простору імен, в яких ви виконуєте роботу.

Docker 1.12+ має вбудовану підтримку налаштування значень sysctl всередині контейнерів. Ось уривок із документації :

Налаштування параметрів ядра (sysctls) з простором імен під час виконання

--Sysctl встановлює в контейнері параметри ядра (sysctls). Наприклад, щоб увімкнути переадресацію IP в просторі імен контейнерів, запустіть цю команду:

docker run --sysctl net.ipv4.ip_forward=1 someimage

Використовуючи ваш приклад, правильним способом підвищення net.core.somaxconnбуло б:

docker run ... --sysctl net.core.somaxconn=65535 ...

Привілейований контейнер все ще використовує власний простір імен для /proc. Що ви можете зробити, це змонтувати реальне /procвсередині контейнера:

docker run --rm --privileged -v /proc:/host-proc ubuntu:latest \
  'echo 65535 > /host-proc/sys/net/core/somaxconn'

Це працює для мене з Docker 1.5.0:

docker run --privileged --net=host --rm ubuntu:latest /bin/sh -c \
   'echo 65535 > /proc/sys/net/core/somaxconn'