【问题标题】：Is it possible to isolate a module kernel in containers powered by docker?是否可以在由 docker 提供支持的容器中隔离模块内核？
【发布时间】：2019-11-16 19:13:27
【问题描述】：
在我的研究中，我部署了许多容器，这些容器使用加载在主机上的内核模块（名为 Ipfw3，实际上是防火墙）。当这些容器同时更新它们在 Ipfw3 上的规则时，这会导致冲突。有没有办法让 Ipfw3 在每个容器上独立？我的意思是，除了名为“Ipfw3”的内核模块之外，这些容器仍然共享 linux 内核，因此它们自己的内核模块在每个容器中单独工作？
提前感谢您的帮助。
【问题讨论】：
标签：
docker
containers
kernel-module
isolation
【解决方案1】：
Docker 容器共享主机的内核和其他一些实现细节，例如 iptables 设置。容器通常无法安装或配置内核模块，并依赖 Docker 运行时为它们完全管理其网络环境。
对于您的应用程序，您积极尝试在每个容器中使用不同的内核模块并尝试积极修改应用程序中的防火墙规则，您需要一个完整的虚拟机。 Docker 不支持这个。