docker仅允许通过--sysctl设置已namespace化的内核参数，如net.、kernel.shm、kernel.msg、kernel.sem、fs.mqueue.；vm.*、fs.file-max等未namespace化参数须在宿主机配置。
在 Docker 中配置容器的内核参数（sysctl），核心是利用 --sysctl 启动参数，前提是目标参数属于 Docker 支持的 namespaced 类型，且容器无需特权模式即可生效。
哪些 sysctl 参数可以安全设置
Docker 仅允许修改已 namespace 化（即每个容器可独立设置）的内核参数。常见可设范围包括：
-
net.*：如
net.core.somaxconn、net.ipv4.ip_local_port_range、net.core.rmem_max - kernel.shm*、kernel.msg*、kernel.sem：用于 IPC 调优，如共享内存和信号量
- fs.mqueue.*：POSIX 消息队列相关参数
注意：vm.*（如 vm.max_map_count）、fs.file-max 等未 namespace 化的参数，不能通过 --sysctl 设置——它们作用于宿主机全局，必须在宿主机上用 sysctl -w 或修改 /etc/sysctl.conf 持久生效。
运行时直接配置（推荐方式）
启动容器时用 --sysctl 指定键值对，多个参数可重复使用该选项：
docker run -it \ --sysctl net.core.somaxconn=65535 \ --sysctl net.ipv4.tcp_tw_reuse=1 \ --sysctl kernel.shmmax=8405194752 \ ubuntu:22.04
进容器后验证：
cat /proc/sys/net/core/somaxconn # 应输出 65535 sysctl net.core.somaxconn # 同样返回对应值
在 Dockerfile 中无法静态设置 sysctl
Dockerfile 的 CMD 或 ENTRYPOINT 是在容器启动后执行的 shell 命令，而 /proc/sys 在普通容器中默认以只读方式挂载，所以以下写法会失败：
CMD ["sysctl", "-w", "net.core.somaxconn=65535"] # ❌ 报错：Read-only file system
若坚持要在镜像层固化行为，只能构建一个带 privileged 权限的镜像（不推荐），或改用 init 容器/宿主机预调优等更稳妥方式。
宿主机级参数需提前配置（如 Elasticsearch 场景）
像 vm.max_map_count 这类非 namespaced 参数，Docker 容器无法覆盖，必须在运行容器前设置宿主机：
# 临时生效 sudo sysctl -w vm.max_map_count=262144 <h1>永久生效（写入配置并加载）</h1><p>echo 'vm.max_map_count=262144' | sudo tee -a /etc/sysctl.conf sudo sysctl -p </p>
之后再启动依赖该参数的服务（如 elasticsearch 官方镜像），它才能正常启动。
本质上，Docker 的 --sysctl 是对 Linux namespace 机制的封装，不是万能开关。搞清参数是否 namespaced，是成功配置的第一步。
