Docker Compose 中可配置 sysctls 以调整容器网络参数，但仅限启动时生效且需内核支持；需在 docker-compose.yml 中用字符串格式声明，如 net.core.somaxconn: "65535"，并避免与 host 网络模式混用。
在 Docker Compose 中直接配置 sysctls 是可行的，但需注意：它仅作用于容器启动时的网络命名空间，且宿主机内核必须允许该参数被容器覆盖（例如非只读、未被 kernel lockdown 或安全模块限制）。
确认 sysctl 参数是否支持容器化修改
不是所有内核参数都能在容器中设置。常见可调的网络相关参数包括：
-
net.core.somaxconn：监听队列最大长度 -
net.ipv4.tcp_tw_reuse：允许 TIME_WAIT 套接字重用 -
net.ipv4.tcp_fin_timeout：FIN_WAIT_2 超时时间 -
net.ipv4.ip_local_port_range：临时端口范围 -
net.core.netdev_max_backlog：网卡接收队列最大长度
运行 docker run --rm alpine sysctl -a | grep net.core.somaxconn 可验证是否可见；若报错“permission denied”，说明该参数被锁定或不支持 namespace 隔离。
在 docker-compose.yml 中正确声明 sysctls
使用 sysctls 字段，支持键值对或字符串格式（推荐键值对更清晰）：
services:
app:
image: nginx:alpine
sysctls:
net.core.somaxconn: "65535"
net.ipv4.tcp_tw_reuse: "1"
net.ipv4.ip_local_port_range: "1024 65535"
⚠️ 注意：
- 值必须为字符串类型（带引号），即使数字也要引起来
- 参数名需完整，如
net.ipv4.tcp_fin_timeout不可简写为tcp_fin_timeout - 若服务使用
network_mode: host，sysctls将被忽略（此时容器共享宿主机网络命名空间）
配合特权模式或 capabilities 的注意事项
绝大多数网络 sysctls 不需要 privileged: true，但以下情况例外：
- 尝试设置被默认禁用的参数（如部分
kernel.开头参数） - 宿主机启用了
sysctl -w kernel.unprivileged_userns_clone=0等限制 - 使用了 SELinux 或 AppArmor 且策略阻止写入
更安全的做法是：仅对必要参数启用对应 capability，例如 cap_add: [SYS_ADMIN]，但应避免滥用——SYS_ADMIN 权限过大，实际中多数网络参数无需它。
验证配置是否生效
进入容器后检查：
docker-compose exec app sysctl net.core.somaxconn # 输出应为：net.core.somaxconn = 65535
也可查看运行时 proc 接口：
docker-compose exec app cat /proc/sys/net/core/somaxconn
若值未改变，检查 compose 文件语法、Docker 版本（sysctls 自 Docker 1.12+ 支持）、以及是否被上层编排工具（如 Swarm、K8s）覆盖。
不复杂但容易忽略的是：这些设置只影响当前容器，不会持久化到宿主机，也不跨容器生效。如需全局优化，仍应在宿主机 /etc/sysctl.conf 中配置并执行 sysctl -p。
