在容器内执行sysctl命令可直接查看或修改内核参数，但需确认参数是否支持namespace隔离；通过docker inspect可查启动时配置的sysctls；host模式下sysctls不生效；未隔离参数如net.ipv4.ip_forward始终继承宿主机值。
直接在容器内执行 sysctl 命令是最直观、最常用的方式，无需额外工具或宿主机权限。
进容器后查当前生效值
启动容器后，用 docker exec -it sh 进入，然后运行：
-
sysctl net.core.somaxconn—— 查单个参数 -
sysctl -a | grep net.ipv4.tcp—— 筛选网络类参数 -
cat /proc/sys/net/core/somaxconn—— 绕过 sysctl 工具，直读内核接口（结果一致）
启动前确认参数是否被允许设置
不是所有内核参数都能在容器中修改。验证某参数是否支持 namespace 隔离：
- 运行临时容器：
docker run --rm alpine sysctl -a 2>/dev/null | grep 'net.core.somaxconn' - 若返回值且无 permission denied，说明该参数可被
--sysctl注入；若报错或无输出，大概率不支持容器级配置
从宿主机检查容器实际加载的 sysctl 配置
查看容器启动时声明的参数，可用 docker inspect 提取配置：
-
docker inspect | jq '.[0].HostConfig.Sysctls'（需安装 jq） - 或不依赖 jq：
docker inspect | grep -A 10 "Sysctls" - 注意：如果容器用了
network_mode: host，这里会为空——因为 host 模式下 sysctls 不生效
快速比对宿主机与容器的差异
有时需要判断某个参数是继承自宿主机还是被容器覆盖：
- 在宿主机执行：
sysctl net.ipv4.ip_forward - 在容器内执行同一条命令，对比输出值
- 像
net.ipv4.ip_forward这类未做 namespace 隔离的参数，容器内始终显示宿主机值，无法单独修改
