刷新 docker 容器的 net.core.somaxcomm（或任何 sysctl 属性）

Question

我正在尝试更改 net.core.somaxconn 以使 docker 容器能够为我的 Web 应用程序提供更大的请求队列。

在OS上，在docker之外，我先修改属性成功：

$ cat /proc/sys/net/core/somaxconn
128
$ sudo sysctl -w net.core.somaxconn=1024
net.core.somaxconn = 1024
$ cat /proc/sys/net/core/somaxconn
1024

但是我不知道如何将该更改传播到 docker。我试过了：

• 同时编辑 /etc/sysctl.conf（希望 docker 在容器启动时读取该文件）
• 再次重启容器sudo docker stop和sudo docker run
• sudo service docker restart 重启整个 docker 服务

但在容器内，cat /proc/sys/net/core/somaxconn 总是显示128。

我正在运行 docker 1.2（因此默认情况下，我无法修改容器内的 /proc 属性）和 Elastic Beanstalk（因此没有--privileged 模式，这将允许我修改/proc）。

如何将 sysctl 更改传播到 docker？

Answer 1

“网络/核心”子系统是registered per network namespace。 somaxconn 的初始值设置为 128。

当您在主机系统上执行 sysctl 时，它会为 其 网络命名空间设置核心参数，该命名空间属于 init。 （基本上这是默认命名空间）。这不会影响其他网络命名空间。

当一个 Docker 容器启动时，该容器的虚拟网络接口（在主机上显示为 vethXXX）is attached to its own namespace，它的初始 somaxconn 值仍然是 128。所以从技术上讲，你不能传播这个值到容器中，因为两个网络命名空间不共享它。

但是，除了以特权模式运行容器之外，还有两种方法可以调整此值。

1. 在运行容器时使用“--net host”，因此它使用主机的网络接口，因此共享相同的网络命名空间。

2. 您可以使用 Docker 的卷映射支持将 proc 文件系统挂载为读写。诀窍是将它映射到一个未命名为“/proc”的卷，因为 Docker 将remount /proc/sys, among others, as read-only for non-privileged containers。这需要主机将 /proc 挂载为 rw，这是大多数系统的情况。

   docker run -it --rm -v /proc:/writable-proc ubuntu:14.04 /bin/bash
   root@edbee3de0761:/# echo 1024 > /writable-proc/sys/net/core/somaxconn
   root@edbee3de0761:/# sysctl net.core.somaxconn
   net.core.somaxconn = 1024
   

方法 2 应该可以通过 Dockerrun.aws.json 中的卷映射支持在 Elastic Beanstalk 上运行。它还应该适用于每个命名空间的 /proc 下的其他可调参数。但这很可能是 Docker 的疏忽，所以他们可能会在卷映射上添加额外的验证，然后这个技巧就行不通了。

Answer 2

docker 1.12 添加了对使用 --sysctl 设置 sysctls 的支持。

docker run --name some-redis --sysctl=net.core.somaxconn=511 -d redis

文档：https://docs.docker.com/engine/reference/commandline/run/#/configure-namespaced-kernel-parameters-sysctls-at-runtime

Answer 3

我找到了解决办法：

{
    "AWSEBDockerrunVersion": "1",
    "Command": "run COMMAND",
    "Image": {
        "Name": "crystalnix/omaha-server",
        "Update": "true"
    },
    "Ports": [
        {
            "ContainerPort": "80"
        }
    ]
}

更多细节在这里：/opt/elasticbeanstalk/hooks/appdeploy/pre/04run.sh

更新：

添加文件.ebextensions/02-commands.config

container_commands:
    00001-docker-privileged:
        command: 'sed -i "s/docker run -d/docker run --privileged -d/" /opt/elasticbeanstalk/hooks/appdeploy/pre/04run.sh'

Answer 4

更新：此答案已过时，因为 Docker 现在支持 docker run --sysctl 选项！

我用于我的 OpenVPN 容器的解决方案是使用 nsenter 进入具有完整功能的容器命名空间，临时重新安装 /proc/sys 读写，设置内容并再次以只读方式重新安装。

这里是一个例子，在容器中启用 IPv6 转发：

CONTAINER_NAME=openvpn

# enable ipv6 forwarding via nsenter
container_pid=`docker inspect -f '{{.State.Pid}}' $CONTAINER_NAME`
nsenter --target $container_pid --mount --uts --ipc --net --pid \
   /bin/sh -c '/usr/bin/mount /proc/sys -o remount,rw;
               /usr/sbin/sysctl -q net.ipv6.conf.all.forwarding=1;
               /usr/bin/mount /proc/sys -o remount,ro;
               /usr/bin/mount /proc -o remount,rw # restore rw on /proc'

这样容器就不需要特权运行了。

Answer 5

刚刚知道如何解决这个问题，现在Elastic Beanstalk supports running a privileged containers，您只需将"privileged": "true" 添加到您的Dockerrun.aws.json，如下示例（请查看container-1）：

{
  "AWSEBDockerrunVersion": 2,
  "containerDefinitions": [{
    "name": "container-0",
    "essential": "false",
    "image": "ubuntu",
    "memory": "512"
  }, {
    "name": "container-1",
    "essential": "false",
    "image": "ubuntu",
    "memory": "512",
    "privileged": "true"
  }]
}

请注意我duplicated this answer来自另一个线程。

Answer 6

在 docker 3.1 中支持指定 sysctl。 注意
sysctls:
- net.core.somaxconn=1024

我的示例 docker-compose 文件

version: '3.1'                                                                   
services:                                                                        
  my_redis_master:                                                             
    image: redis                                                                 
    restart: always                                                              
    command: redis-server /etc/redis/redis.conf                                  
    volumes:                                                                     
      - /data/my_dir/redis:/data                                         
      - /data/my_dir/logs/redis:/var/tmp/                                
      - ./redis/redis-master.conf:/etc/redis/redis.conf                          
    sysctls:                                                                     
      - net.core.somaxconn=1024                                                  
    ports:                                                                       
      - "18379:6379"                                   

Answer 7

正如@nazim.sp 回答 Docker compose 将支持 sysctls， 我遇到了与@Or Gal“忽略不支持的选项：”相同的问题，但是使用不同的语法它被接受 来自 docker-compose.yaml 的示例节

redis:
  image: redis
  container_name: redis
  sysctls: 
    net.core.somaxconn: "1024"

来源：https://rollout.io/blog/adjusting-linux-kernel-parameters-with-docker-compose/

我意识到这应该是适当答案中的评论，但是没有代表添加评论的新手，你必须跳进去并“回答”