LXC и net.ipv4_forward

Да, умеет. Файл там создавать не надо, там он уже должен быть если ядро в хосте правильно настроено. И даже если ты настроишь форвардинг на хосте, в контейнере его не будет.

Предположим, у меня есть сетевой интерфейс, который я пробросил в контейнер, он смотрит в интернет. Так же туда подключен виртуальный интерфейс, который идет на виртуальный коммутатор в локальную сеть. Мне нужно, чтобы можно было настроить форвардинг пакетов и задать различные параметры для сетевых соединений ( поменть значение net.ipv4.tcp_keepalive_time, ip_local_port_range к примеру).

Менять эти значения на хосте не хочется. Я так понял, что данные параметры будут одни для всех контейнеров.

Или их можно поменять?

Нет. В каждом контейнере свой отдельный /proc, в нём свои значения, которые не зависят от хоста или других контейнеров.

используй lxc.hook.start

Я бы предложил стандартный метод настройки sysctl в дистрибутиве, который внутри контейнера.

Зависит от ядра. В старых версиях не все параметры можно было делать per namespace.

Это зависит от того, что запускатся в контейнере.

Если там система, то да, sysctl более правильное решение.

А если там запускается непривилегированный сервис, то hook более правильный вариант.

Спасибо за ответы.
Попробовал выставить настройки на лету (внутри контейнера):
sysctl -w net.ipv4.tcp_keepalive_time=600
sysctl -w net.ipv4.ip_forward=1
Получаю ошибку: sysctl: cannot stat /proc/sys/net/ipv4/tcp_keepalive_time: Нет такого файла или каталога
и для форвардинга похожее

Отредактировал sysctl.conf, форвардинг заработал, а вот время жизни пакетов нет. Хуками по идее тоже самое получится.

В принципе время жизни пакетов не так критично, но если будут ответы или кто-нибудь знает ресурс где контейнеризацию на LXC описывают на более глубоком уровне - буду рад)

гм. а что за ведро ядро и версия lxc ?

«lxc.mount.auto = proc sys cgroup» в конфиге есть ?

Стоит дебиан стабильный.
Ядро 3.16
Lxc 1.0.6

Дебиан стабильный - это говно мамонта. Для lxc лучше что-нибудь поновее.

Lxc 1.0.6

Все понятно.

Вменяемая версия LXC - 2.x