容器网络超时需逐层排查：先验ip连通性与dns解析，再查网络模式（bridge/host/自定义）配置及iptables策略，继而抓包定位卡点，最后确认docker服务、内核转发与云安全组设置。
容器内网络连接频繁超时，通常不是单一原因导致，需按“容器网络栈→宿主机网络→外部依赖”逐层验证。重点先确认是否为 DNS 解析失败、iptables 规则干扰、或容器网络模式配置不当。
检查容器内基础网络连通性与 DNS
进入容器后，优先验证底层连通性是否正常：
- 用 ping -c 3 8.8.8.8 测试 IP 层可达性；若不通，说明容器到宿主机或网桥存在阻断（如 docker0 桥异常、firewalld 干预）
- 用 nslookup google.com 或 dig google.com +short 查看 DNS 是否响应；返回 timeout 或 NXDOMAIN 很可能指向 DNS 配置错误
- 检查 /etc/resolv.conf 内容：默认应含 nameserver 127.0.0.11（Docker 内建 DNS）；若被覆盖为不可达地址（如公司内网 DNS 未开放给容器），需通过 --dns 参数重设或改用 host 网络
确认容器网络模式与路由路径
不同网络模式行为差异大，超时表现也不同：
- bridge 模式（默认）：容器经 docker0 网桥转发，需确保宿主机 iptables FORWARD 链未被 DROP；可临时执行 iptables -P FORWARD ACCEPT 测试是否策略拦截
- host 模式：容器共享宿主机网络命名空间，此时超时大概率源于宿主机本身网络问题（如代理设置、出向限速、本地 hosts 干扰），直接在宿主机复现请求即可定位
- 自定义网络或 macvlan：检查子网划分是否冲突、网关是否可达、ARP 表是否完整（ip neigh show）
抓包定位具体卡点位置
在容器内或宿主机上抓包，明确超时发生在哪一环节：
- 容器内抓包：tcpdump -i eth0 port 443 -w app.pcap，观察是否有 SYN 发出但无 SYN-ACK 返回
- 宿主机抓包（docker0 或物理网卡）：tcpdump -i docker0 'host ' -w host.pcap，比对请求是否到达网桥、是否被转发出去
- 若容器发出 SYN 后宿主机收不到，可能是容器内路由表错误（ip route）、或内核参数 net.ipv4.conf.all.forwarding=0 被禁用
排查 Docker 守护进程与系统级干扰
某些系统配置会静默影响容器网络：
- 检查 systemctl status docker 是否有报错；重启 Docker 可能恢复损坏的 iptables 规则
- 确认 /proc/sys/net/ipv4/ip_forward 值为 1；CentOS/RHEL 中若启用了 firewalld，需添加 docker0 接口到 trusted 区域：firewall-cmd --permanent --zone=trusted --add-interface=docker0
- 云环境（如 AWS EC2）注意安全组是否放行目标端口，且源地址是容器所在子网段（非宿主机私有 IP）
