Optimisation du noyau avec un conteneur Docker privilégié

Je construis un conteneur pour régler les paramètres du noyau pour un équilibreur de charge. Je préfère déployer ces modifications sur l'hôte dans une image à l'aide d'un seul conteneur privilégié. Par exemple:

docker run --rm --privileged ubuntu:latest sysctl -w net.core.somaxconn=65535

Lors des tests, les modifications prennent effet, mais uniquement pour ce conteneur. J'avais l'impression qu'avec un conteneur entièrement privilégié, les modifications apportées à / proc changeraient réellement le système d'exploitation sous-jacent.

$docker run --rm --privileged ubuntu:latest \
    sysctl -w net.core.somaxconn=65535
net.core.somaxconn = 65535

$ docker run --rm --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep somaxconn"
net.core.somaxconn = 128

Est-ce ainsi que les conteneurs privilégiés sont censés fonctionner?

Suis-je en train de faire quelque chose de stupide?

Quelle est la meilleure façon d'apporter des changements durables?

Informations sur la version:

Client version: 1.4.1
Client API version: 1.16
Go version (client): go1.3.3
Git commit (client): 5bc2ff8
OS/Arch (client): linux/amd64
Server version: 1.4.1
Server API version: 1.16
Go version (server): go1.3.3
Git commit (server): 5bc2ff8

Exemple de commande avec monté / proc:

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -p /updates/sysctl.conf"
net.ipv4.ip_local_port_range = 2000 65000

$ docker run -v /proc:/proc ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

$ docker run -v /proc:/proc --privileged ubuntu:latest \
    /bin/bash -c "sysctl -a | grep local_port"
net.ipv4.ip_local_port_range = 32768    61000

Ce paramètre particulier tombe sous l'influence de l'espace de noms réseau dans lequel le docker s'exécute.

En règle générale, /procles paramètres qui sont pertinents à l'échelle du système sont modifiés, mais techniquement, vous modifiez les paramètres dans /proc/netlesquels les résultats sont renvoyés par espace de noms réseau.

Notez qu'il /proc/nets'agit en fait d'un lien symbolique vers /proc/self/netcar il reflète vraiment les paramètres de l'espace de noms dans lequel vous effectuez le travail.

Docker 1.12+ a un support natif pour modifier les valeurs sysctl à l'intérieur des conteneurs. Voici un extrait de la documentation :

Configurer les paramètres du noyau à espace de noms (sysctls) lors de l'exécution

--Sysctl définit les paramètres du noyau à espace de noms (sysctls) dans le conteneur. Par exemple, pour activer le transfert IP dans l'espace de noms du réseau de conteneurs, exécutez cette commande:

docker run --sysctl net.ipv4.ip_forward=1 someimage

En utilisant votre exemple, la bonne façon de relancer net.core.somaxconnserait:

docker run ... --sysctl net.core.somaxconn=65535 ...

Le conteneur privilégié utilise toujours son propre espace de noms de processus pour /proc. Ce que vous pouvez faire est de monter le réel /procà l'intérieur du conteneur:

docker run --rm --privileged -v /proc:/host-proc ubuntu:latest \
  'echo 65535 > /host-proc/sys/net/core/somaxconn'

Cela fonctionne pour moi avec Docker 1.5.0:

docker run --privileged --net=host --rm ubuntu:latest /bin/sh -c \
   'echo 65535 > /proc/sys/net/core/somaxconn'