容器命名空间缺少net.ipv4.tcp_challenge_ack_limit参数问题咨询

问题根本原因 #

该问题属于内核版本限制，和Docker无关。
net.ipv4.tcp_challenge_ack_limit参数在Linux 5.1版本内核才完成network namespace适配，你当前使用的4.14内核版本中，该参数为全局内核参数，仅在宿主机初始网络命名空间下可见可修改，不会暴露给容器的独立网络命名空间，因此容器内找不到对应/proc路径会抛出报错。
Docker默认只会透传内核支持netns隔离的sysctl参数到容器内，全局内核参数不会挂载到容器的/proc/sys目录下，属于正常的安全隔离机制，避免容器修改全局配置影响宿主机和其他容器。

解决方案 #

• 通用方案：直接在宿主机修改该参数，配置会对所有容器生效。临时修改执行命令：

  sysctl -w net.ipv4.tcp_challenge_ack_limit=目标值
  

  永久生效将net.ipv4.tcp_challenge_ack_limit=目标值写入/etc/sysctl.conf文件，执行sysctl -p加载配置即可。
• 需容器单独配置方案：将宿主机内核升级到5.1及以上版本，升级后即可在容器内正常配置该参数。
• 临时测试方案（不推荐生产使用）：启动容器时添加--net=host参数共享宿主机网络命名空间，此时容器内可看到并修改该参数，但修改会直接同步到宿主机全局配置，影响所有共享宿主机网络的进程。

内容的提问来源于stack exchange，提问作者zain