docker容器网络监控与限速需借助linux内核工具：先通过docker inspect和ip link定位veth接口及pid，再用nsenter进入网络命名空间；以tc在veth主机端配置egress限速，用/sys/class/net/eth0/statistics/读取rx_bytes/tx_bytes实现轻量级流量监控。
在 Docker 中直接配置容器的网络流量监控与限速，不能靠 Docker 原生命令（如 docker run）原生支持完整限速或实时流量统计，需借助 Linux 内核工具（tc、iptables、ip）配合容器网络命名空间实现。核心思路是：定位容器对应的虚拟网卡（veth），进入其网络命名空间，再用 tc 限速、用 iptables 或 cat /sys/class/net/.../statistics/ 统计流量。
找到容器对应的 veth 接口和网络命名空间
Docker 容器默认使用 bridge 网络（如 docker0），每个容器在宿主机上对应一个 veth 设备（如 vethabc123），一端连宿主机，一端连容器内部。要操作容器网络，必须先找到它：
- 运行
docker inspect | grep -A 10 "NetworkSettings"，记下IPAddress和MacAddress - 执行
ip link show | grep -B1 '<macaddress>'</macaddress>或ls -l /sys/class/net/veth*/address | grep <macaddress></macaddress>，定位到宿主机上的 veth 名称（如vethabcd12） - 获取容器 PID：
docker inspect -f '{{.State.Pid}}'，假设为12345 - 进入容器网络命名空间：
nsenter -t 12345 -n ip addr可验证是否成功
用 tc 实现出口（egress）限速
tc（traffic control）只能在**出方向**（即容器发往外部）做精细限速；入方向（ingress）限速需用 ifb 模块，较复杂，一般推荐对出向限速已能满足多数场景（如限制容器上传带宽）：
- 在宿主机上，对容器对应的 veth 主机端（如
vethabcd12）添加 HTB 队列规则：tc qdisc add dev vethabcd12 root handle 1: htb default 30 - 添加一个限速类（例如限 2Mbps）：
tc class add dev vethabcd12 parent 1: classid 1:1 htb rate 2mbit - 将容器所有流量导向该类（匹配 IP）：
tc filter add dev vethabcd12 protocol ip parent 1:0 prio 1 u32 match ip src flowid 1:1
注意：限速作用于 veth 的主机侧，且仅影响容器发出的流量（即容器 → 外部）。若需双向限速，建议在容器内（通过 nsenter 进入后）对 eth0 配置，但需容器内有 tc 工具且具备 CAP_NET_ADMIN 权限（启动时加 --cap-add=NET_ADMIN）。
监控实时流量（进出字节数）
最轻量、无依赖的方式是读取内核暴露的网卡统计接口：
- 查容器内 eth0 流量（需进入容器命名空间）：
nsenter -t 12345 -n cat /sys/class/net/eth0/statistics/rx_bytes（接收字节数）nsenter -t 12345 -n cat /sys/class/net/eth0/statistics/tx_bytes（发送字节数） - 定期采集并计算差值即可得速率（如每秒增量）。可用简单 shell 脚本循环 + sleep 实现基础监控
- 替代方案：用
iptables计数器（更灵活，支持按协议/端口过滤）：nsenter -t 12345 -n iptables -A OUTPUT -d 10.0.0.0/8 -j ACCEPT
然后nsenter -t 12345 -n iptables -L OUTPUT -v -n查看包/字节计数
简化实践：用 ctop 或 NetData 快速可视化
若不需要底层控制，只想快速查看和粗略限速，可借助第三方工具：
-
ctop：类 top 的容器监控工具，安装后运行
ctop即可看到各容器实时网络 I/O（RX/TX KB/s），无需额外配置 - NetData：在宿主机部署，自动发现 Docker 容器，提供图形化流量、连接数、丢包等指标，支持告警
-
docker stats --no-stream：虽不显示网络细节，但配合
--format可输出网络 I/O 字节数（Docker 20.10+ 支持.Networks.<netname>.RxBytes</netname>）
不复杂但容易忽略的是：所有基于 veth 的操作都依赖容器处于运行状态，且 veth 名称每次重启容器都会变，自动化脚本中建议用 docker network inspect + ip link 动态解析，而非写死接口名。
