Я создаю контейнер для настройки параметров ядра для балансировщика нагрузки. Я бы предпочел развернуть эти изменения на хосте в образе, используя один привилегированный контейнер. Например:
docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535
При тестировании изменения вступают в силу, но только для этого контейнера. У меня сложилось впечатление, что при полностью привилегированном контейнере изменения в / proc фактически изменят основную ОС.
$docker run --rm --privileged ubuntu:latest \
sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535
$ docker run --rm --privileged ubuntu:latest \
/bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128
Это как привилегированные контейнеры должны работать?
Я просто делаю что-то глупое?
Каков наилучший способ внести долгосрочные изменения?
Информация о версии:
Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8
Пример команды с смонтированным / proc:
$ docker run -v /proc:/proc ubuntu:latest \
/bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768 61000
$ docker run -v /proc:/proc --privileged ubuntu:latest \
/bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000
$ docker run -v /proc:/proc ubuntu:latest \
/bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768 61000
$ docker run -v /proc:/proc --privileged ubuntu:latest \
/bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768 61000
Ответы:
Этот конкретный параметр находится под влиянием сетевого пространства имен, в котором работает Docker.
Как правило
/proc
, изменяются настройки, которые являются подходящими для всей системы, технически говоря, однако вы изменяете настройки, в/proc/net
которых возвращаются результаты для каждого пространства имен сети.Обратите внимание, что
/proc/net
на самом деле это символическая ссылка,/proc/self/net
поскольку она действительно отражает настройки пространства имен, в котором вы выполняете работу.источник
Docker 1.12+ имеет встроенную поддержку для настройки значений sysctl внутри контейнеров. Вот выдержка из документации :
Используя ваш пример, правильный способ поднять ставку
net.core.somaxconn
будет:источник
Привилегированный контейнер все еще использует свое собственное пространство имен процесса для
/proc
. Что вы можете сделать, это установить реальное/proc
внутри контейнера:источник
Это работает для меня с Docker 1.5.0:
источник