--sysctl 注入可 namespaced 网络参数是安全、精准、生效最快的容器网络调优方案，支持 net.core.somaxconn、net.ipv4.tcp_tw_reuse 等参数，但需避开 host 网络模式、privileged 权限及全局 default-sysctls 等陷阱。
直接在容器启动时用 --sysctl 注入可 namespaced 的网络参数，是安全、精准、生效最快的方案。关键不是改宿主机全局设置，而是让每个容器按需获得适配的协议栈行为。
只设可 namespace 化的参数
Docker 仅允许容器级修改已隔离的内核参数。网络调优中能用 --sysctl 设置的典型参数包括：
-
net.core.somaxconn：监听队列长度，建议设为65535防止高并发建连丢 SYN -
net.ipv4.tcp_tw_reuse：设为1允许 TIME-WAIT 端口快速复用，适合 API 网关类短连接服务 -
net.ipv4.ip_local_port_range：扩大临时端口范围，如"1024 65535" -
net.ipv4.conf.lo.rp_filter：设为0关闭回环接口反向路径过滤，解决同机容器间 RTT 暴增问题 -
net.core.netdev_max_backlog：增大网卡接收队列，缓解突发流量丢包
像 vm.max_map_count 或 fs.file-max 这类未 namespace 化的参数，不能通过 --sysctl 设置，必须在宿主机上配置。
命令行与 Compose 写法要规范
使用 docker run 时，重复 --sysctl 即可：
docker run --sysctl net.core.somaxconn=65535 \
--sysctl net.ipv4.tcp_tw_reuse=1 \
--sysctl net.ipv4.conf.lo.rp_filter=0 \
-d nginx
在 docker-compose.yml 中，必须用字符串格式写值，且不支持缩写：
services:
app:
image: nginx
sysctls:
net.core.somaxconn: "65535"
net.ipv4.tcp_tw_reuse: "1"
net.ipv4.conf.lo.rp_filter: "0"
注意：network_mode: host 下 sysctls 会被忽略——此时容器共享宿主机网络命名空间，参数应直接调优宿主机。
配套调整文件描述符与 conntrack 容量
TCP 连接数受限于两个硬性资源：进程能打开的文件数（fd），以及内核 conntrack 表大小。二者需同步放大：
- 用
--ulimit nofile=65536:65536提升容器内单进程 fd 上限 - 若使用 bridge 网络或依赖 NAT，需在宿主机扩大 conntrack 表：
sudo sysctl -w net.netfilter.nf_conntrack_max=1048576
并写入/etc/sysctl.conf持久化
验证是否生效：进容器后执行 cat /proc/sys/net/core/somaxconn 和 ulimit -n，输出应与设定一致。
避开常见陷阱
这些操作看似简单，但几个细节极易出错：
- Dockerfile 中写
CMD ["sysctl", "-w", "..."]会失败——/proc/sys默认只读，无法运行时修改 - 不要滥用
privileged: true或SYS_ADMINcapability，绝大多数网络参数无需特权 - 避免在
/etc/docker/daemon.json全局设置default-sysctls，不同服务对参数需求差异大，统一配置反而引发冲突 - 禁用 IPv6 可减少协议栈开销：
--sysctl net.ipv6.conf.all.disable_ipv6=1，尤其在纯 IPv4 场景下有效
