容器内仅可配置namespaced的sysctl参数，如net.、kernel.shm等；vm.*、fs.file-max等non-namespaced参数须在宿主机配置。
直接在容器内修改物理内核参数是不可行的——因为像 vm.max_map_count、net.bridge.bridge-nf-call-iptables 这类非命名空间（non-namespaced）参数，由宿主机内核全局控制，容器无权覆盖。真正能安全、有效配置的，是那些支持网络命名空间隔离的 net.* 参数，例如 net.ipv4.conf.lo.rp_filter、net.core.somaxconn 或 net.ipv4.tcp_tw_reuse。关键不在“改内核”，而在“选对参数 + 用对方式”。
哪些 sysctl 参数能在容器里配？看命名空间支持性
Linux 内核将 sysctl 参数分为两类：
-
Namespaced 参数：如
net.ipv4.conf.lo.rp_filter、net.core.somaxconn、net.ipv4.tcp_fin_timeout—— 容器启动时可通过--sysctl注入，作用于该容器的网络命名空间，不影响其他容器或宿主机。 -
Non-namespaced 参数：如
vm.max_map_count、fs.file-max、kernel.shmmax—— 容器内执行sysctl -w会报 Read-only file system 错误；必须在宿主机提前设置，并确保容器运行前已生效。
容器启动时动态注入 namespaced 参数
这是最常用、最安全的方式，适用于 TCP 调优、回环过滤修复等场景：
- 禁用 lo 接口反向路径过滤（解决 RTT 突增）：
docker run --sysctl net.ipv4.conf.lo.rp_filter=0 nginx - 增大连接队列上限（提升高并发接受能力）：
docker run --sysctl net.core.somaxconn=65535 nginx - 启用 TIME_WAIT 套接字复用（减少端口耗尽）：
docker run --sysctl net.ipv4.tcp_tw_reuse=1 nginx - 支持多个参数组合：
docker run --sysctl net.ipv4.conf.lo.rp_filter=0 --sysctl net.core.somaxconn=65535 --sysctl net.ipv4.tcp_tw_reuse=1 nginx
Kubernetes 中等效配置方式
在 Pod 层面通过 securityContext.sysctls 声明，需确保节点 kubelet 启用了 sysctls 特性门控（默认开启）：
- YAML 示例：
sysctls:
- name: net.ipv4.conf.lo.rp_filter
value: "0"
- name: net.core.somaxconn
value: "65535"
宿主机级参数必须提前设好
若应用依赖 vm.max_map_count（如 Elasticsearch）或 net.bridge.bridge-nf-call-iptables（影响 CNI 流量走向），必须在宿主机上配置：
- 临时生效：
sudo sysctl -w vm.max_map_count=262144sudo sysctl -w net.bridge.bridge-nf-call-iptables=1 - 永久生效：
echo 'vm.max_map_count=262144' | sudo tee -a /etc/sysctl.confecho 'net.bridge.bridge-nf-call-iptables=1' | sudo tee -a /etc/sysctl.confsudo sysctl -p - 注意：修改后需重启 Docker daemon 或相关容器，确保新参数被继承。
