在docker-compose.yml中配置sysctls是最常用、最安全的容器内核调优方式，适用于调整网络协议栈行为；需以键值对字符串形式声明（如net.core.somaxconn: "65535"），仅限支持namespace隔离的参数，且network_mode: host时失效。
直接在 docker-compose.yml 中配置 sysctls 是最常用、最安全的容器内核调优方式，适用于调整网络协议栈行为，不修改宿主机全局设置，也不需要特权模式。
确认参数是否支持容器化修改
不是所有内核参数都能在容器中设置。只有已做 namespace 隔离的网络相关参数才可用 sysctls 注入。常见可调参数包括：
-
net.core.somaxconn：监听队列最大长度（默认常为 128，高并发建议设为 65535） -
net.ipv4.tcp_tw_reuse：允许 TIME-WAIT 端口快速复用（设为 1，适合 API 网关类短连接服务） -
net.ipv4.ip_local_port_range：临时端口范围（如 "1024 65535"） -
net.core.netdev_max_backlog：网卡接收队列最大长度（缓解突发流量丢包） -
net.ipv4.conf.lo.rp_filter：回环接口反向路径过滤（设为 0 可解决同机容器间 RTT 异常升高问题）
验证方法：运行 docker run --rm alpine sysctl -a | grep net.core.somaxconn，若报 “permission denied”，说明该参数被锁定或未 namespace 化。
在 docker-compose.yml 中正确声明 sysctls
使用 sysctls 字段，必须以键值对形式书写，且值必须为字符串（加引号）：
services:
app:
image: nginx:alpine
sysctls:
net.core.somaxconn: "65535"
net.ipv4.tcp_tw_reuse: "1"
net.ipv4.ip_local_port_range: "1024 65535"
net.ipv4.conf.lo.rp_filter: "0"
注意：
- 参数名必须完整，不能简写（如不能写
tcp_tw_reuse） - 若服务设置了
network_mode: host，sysctls将被忽略（此时共享宿主机网络命名空间） - 绝大多数网络参数无需
privileged: true或SYS_ADMINcapability
配套调整文件描述符与 conntrack 容量
TCP 连接数受两个硬性资源限制：进程能打开的文件描述符（fd）数量，以及内核 conntrack 表大小。二者需同步放大：
- 用
ulimits提升容器内 fd 上限：ulimits:<br> nofile: 65536:65536
- 若使用 bridge 网络或依赖 NAT，需在宿主机扩大 conntrack 表：
sudo sysctl -w net.netfilter.nf_conntrack_max=1048576，并写入/etc/sysctl.conf持久化
验证配置是否生效
启动服务后执行：
-
docker-compose exec app sysctl net.core.somaxconn→ 应输出net.core.somaxconn = 65535 -
docker-compose exec app cat /proc/sys/net/core/somaxconn→ 值应一致 -
docker-compose exec app ulimit -n→ 应返回65536
若值未改变，请检查 compose 文件语法、Docker 版本（sysctls 自 Docker 1.12+ 支持），以及是否被上层编排工具覆盖。
