Docker / LXC / OpenVZ 容器里能不能开启 BBR？
更新日期：2026-07-07
很多人在容器里执行 BBR 命令后遇到 permission denied，或者显示改了但没有效果。原因很简单：TCP 拥塞控制属于内核网络栈能力，而容器通常共享宿主机内核。
结论先说
- KVM / VMware / Hyper-V 这种完整虚拟机：通常可以自己开启。
- Docker 普通容器：通常应该在宿主机开启。
- LXC 容器：取决于宿主机是否允许。
- OpenVZ：多数情况下由宿主机控制，容器内无法完整修改。
- Kubernetes：需要节点级配置或允许 safe/unsafe sysctl。
为什么容器内不一定能开
容器不是完整内核。你在容器里看到的 `/proc/sys/net/ipv4/tcp_congestion_control` 可能映射到宿主机，也可能被运行时限制。
检查：
sysctl net.ipv4.tcp_available_congestion_control
sysctl net.ipv4.tcp_congestion_control
sudo sysctl -w net.ipv4.tcp_congestion_control=bbr
如果报 permission denied，就不要继续在容器里折腾。
Docker 应该怎么做
在宿主机配置：
sudo tee /etc/sysctl.d/99-bbr.conf >/dev/null <<'EOF'
net.core.default_qdisc=fq
net.ipv4.tcp_congestion_control=bbr
EOF
sudo sysctl --system
然后重启需要长期连接的服务容器，确保新连接使用新算法。
Kubernetes 应该怎么做
Kubernetes 中，节点网络参数应该由节点镜像、DaemonSet、机器配置或云平台节点池配置管理。不要在业务 Pod 里手工执行。
如果需要在 Pod 里设置 sysctl，要先确认该参数是否被集群允许。网络栈相关 sysctl 往往属于更敏感的配置。
OpenVZ / 低价 NAT VPS
OpenVZ 容器经常无法加载内核模块，也无法修改这类参数。你能做的通常只有：
- 询问服务商宿主机是否开启。
- 换 KVM VPS。
- 在应用层优化连接复用、压缩、缓存和 CDN。