Можно ли изолировать ядро ​​модуля в контейнерах с докером?

Question

В своем исследовании я развернул несколько контейнеров, которые использовали модуль ядра (названный Ipfw3, фактически брандмауэр), загруженный на хост-машину.Это привело к конфликту, когда эти контейнеры обновляют свои правила на Ipfw3 одновременно.Есть ли способ сделать Ipfw3 независимым от каждого контейнера?Я имею в виду, что эти контейнеры все еще совместно используют ядро ​​linux, кроме модуля ядра под названием «Ipfw3», таким образом, имея свой собственный модуль ядра, работающий отдельно в каждом контейнере?Заранее спасибо за помощь.

Answer 1

Docker-контейнеры совместно используют ядро ​​хоста и некоторые другие детали реализации, такие как iptables setup.Контейнеры обычно не могут устанавливать или настраивать модули ядра и зависят от среды выполнения Docker для полного управления своей сетевой средой для них.

Для вашего приложения, где вы активно пытаетесь использовать разные модули ядра для каждого контейнера и пытаетесьЧтобы активно изменять правила брандмауэра в приложении, вам нужна полноценная виртуальная машина.Докер не поддерживает это.