如何在Docker中禁用Kernel SCTP：无需重启或重启容器

首先得明确：容器是共享宿主机内核的，内核模块的加载/卸载权限完全在宿主机手里，你在Dockerfile里写的blacklist.conf配置在容器内根本起不了作用——哪怕你重启容器也没用，因为容器碰不到宿主机的内核模块。

无需重启的禁用方法 #

1. 宿主机层面提前处理（推荐） #

如果能控制测试用的宿主机，直接在宿主机上操作就行，不用动容器：

• 先卸载已经加载的SCTP模块（如果有的话）：

  rmmod sctp
  

• 临时阻止模块被加载（不用重启宿主机）：

  echo "install sctp /bin/false" > /etc/modprobe.d/sctp-blacklist.conf
  

  做完这两步，不管是宿主机本身还是跑在上面的容器，都没法加载SCTP模块了。

2. 特权容器内操作（不推荐，有安全风险） #

如果必须在容器里搞，得给容器开特权，然后在启动时卸载模块：

• 修改你的Dockerfile，把启动命令改成这样：

  ...
  RUN mkdir /etc/modprobe.d/ \
      && touch /etc/modprobe.d/blacklist.conf \
      && echo "blacklist sctp" >> /etc/modprobe.d/blacklist.conf \
      && echo "install sctp /bin/false" >> /etc/modprobe.d/blacklist.conf
  CMD ["sh", "-c", "rmmod sctp || true; 替换成你的测试工具启动命令"]
  

• 启动容器时加--privileged参数：

  docker run --privileged 你的镜像名称
  

  加|| true是怕模块没加载时命令报错，导致容器启动失败。

关于重启Docker容器 #

重启容器的命令很简单：

docker restart 容器名称或容器ID

但还是要强调：重启容器解决不了SCTP禁用的问题，因为内核模块是宿主机的，容器重启不影响宿主机的内核状态。

内容的提问来源于stack exchange，提问作者joraeune