Назад | Перейти на главную страницу

Настройка ядра с помощью привилегированного контейнера Docker

Я создаю контейнер для настройки параметров ядра для балансировщика нагрузки. Я бы предпочел развернуть эти изменения на хосте в образе с использованием одного привилегированного контейнера. Например:

docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535

При тестировании изменения вступают в силу, но только для этого контейнера. У меня создалось впечатление, что при полностью привилегированном контейнере изменения в / proc фактически изменят базовую ОС.

$docker run --rm --privileged ubuntu:latest \
    sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535

$ docker run --rm --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128

Так должны ли работать привилегированные контейнеры?

Я просто делаю что-то глупое?

Как лучше всего добиться устойчивых изменений?

Информация о версии:

Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8

Пример команды с смонтированным / proc:

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

Этот конкретный параметр находится под влиянием сетевого пространства имен, в котором работает докер.

Как общее правило /proc изменяет настройки, которые актуальны для всей системы, технически говоря, однако вы изменяете настройки в /proc/net который возвращает результаты для каждого сетевого пространства имен.

Обратите внимание, что /proc/net на самом деле символическая ссылка на /proc/self/net поскольку он действительно отражает настройки пространства имен, в котором вы выполняете работу.

Docker 1.12+ имеет встроенную поддержку для настройки значений sysctl внутри контейнеров. Вот отрывок из документация:

Настроить параметры ядра в пространстве имен (sysctls) во время выполнения

--Sysctl устанавливает в контейнере параметры ядра (sysctls) в пространстве имен. Например, чтобы включить переадресацию IP-адресов в пространстве имен сети контейнеров, выполните следующую команду:

docker run --sysctl net.ipv4.ip_forward=1 someimage

Используя ваш пример, правильный способ поднять net.core.somaxconn было бы:

docker run ... --sysctl net.core.somaxconn=65535 ...

Привилегированный контейнер все еще использует собственное пространство имен процесса для /proc. Что вы можете сделать, так это установить настоящую /proc внутри контейнера:

docker run --rm --privileged -v /proc:/host-proc ubuntu:latest \
  'echo 65535 > /host-proc/sys/net/core/somaxconn'

У меня это работает с Docker 1.5.0:

docker run --privileged --net=host --rm ubuntu:latest /bin/sh -c \
   'echo 65535 > /proc/sys/net/core/somaxconn'