| 用途 | 容器内 net 等命名空间参数 |
|---|---|
| 语法 | --sysctl net.ipv4.ip_forward=1 |
| 限制 | 非白名单参数报 is not allowed |
示例
示例
docker run --rm --sysctl net.ipv4.ip_forward=1 alpine cat /proc/sys/net/ipv4/ip_forward需要大范围非白名单参数时先评估必要性；能通过宿主 sysctl 统一配置的就不放进容器命令。
docker run --sysctl 内核参数（白名单）
在容器命名空间内调整内核参数：只允许 Docker 白名单中的命名空间化参数，未列入的会被拒绝，除非容器以特权运行。
易错点
- 被拒绝时看到 sysctl is not allowed 属预期行为，用 --privileged 放开要重新评估风险面
- 参数名或取值写错可能在运行时才暴露，变更先在测试容器验证再进编排文件
数据来源与参考
- Docker 官方文档：Configure namespaced kernel parameters (sysctls)（docs.docker.com）