核心是用--sysctl显式注入net.core.somaxconn、net.ipv4.tcp_tw_reuse等TCP参数，并配合host网络模式绕过bridge转发开销，同时通过--ulimit提升文件描述符上限，确保conntrack表容量匹配。
在 Docker 中优化高并发 TCP 连接，核心是让容器能合理使用宿主机内核能力，同时绕过默认限制。关键不在于“给容器装新内核”，而是精准传递和覆盖关键网络参数——既不能越权修改宿主机全局设置，也不能放任容器继承不适用的默认值。
启动时用 --sysctl 显式注入关键 TCP 参数
这是最常用、最安全的方式。Docker 允许在 run 或 compose 中为单个容器指定内核参数，仅作用于该容器的网络命名空间：
- net.core.somaxconn=65535：扩大监听队列，避免高并发建连时丢 SYN 包（默认常为 128）
- net.ipv4.tcp_tw_reuse=1：允许 TIME-WAIT 状态端口快速复用于新连接（尤其对短连接密集型服务如 API 网关）
- net.ipv4.tcp_max_syn_backlog=4096：增大半连接队列，缓解 SYN Flood 压力
- net.ipv4.tcp_fin_timeout=30：缩短 FIN_WAIT_2 超时，加快连接释放
示例命令：
docker run --sysctl net.core.somaxconn=65535 --sysctl net.ipv4.tcp_tw_reuse=1 -d nginx
在 docker-compose.yml 中写法：
sysctls:
- net.core.somaxconn=65535
- net.ipv4.tcp_tw_reuse=1
配合 host 网络模式减少协议栈跳转
bridge 模式下，每个包都要经过 docker0 网桥 + iptables NAT + conntrack，高并发时软中断和规则匹配开销明显。改用 host 模式可直接复用宿主机网络栈：
- 容器进程绑定 0.0.0.0:80 即可对外提供服务，无需 -p 端口映射
- 所有上述 sysctl 设置依然生效，且不再受 bridge 的额外转发延迟影响
- 注意：需自行管理端口冲突，并通过宿主机防火墙（如 firewalld）或云平台安全组替代 iptables 防护
示例：
docker run --network=host --sysctl net.core.somaxconn=65535 -d nginx
确保文件描述符与连接跟踪容量匹配
TCP 连接数受限于两个底层资源：进程可打开的文件描述符（fd）数量，以及内核 conntrack 表大小。二者必须同步放大：
- 用 --ulimit nofile=65536:65536 提升容器内进程的 fd 上限（默认常为 1024）
- 若启用 conntrack（如使用 bridge 或需 NAT），在宿主机执行：
sysctl -w net.netfilter.nf_conntrack_max=1048576
并在 /etc/sysctl.conf 中持久化 - 验证方式：进入容器后运行 cat /proc/sys/net/core/somaxconn 和 ulimit -n
慎用全局 daemon.json 修改
/etc/docker/daemon.json 中配置 "default-ulimits" 或 "iptables": false 会影响所有容器，风险较高：
- 设 "iptables": false 可彻底禁用 Docker 自动插规则，降低转发延迟，但意味着你必须自己保障端口访问控制
- 设 default-ulimits 对所有容器统一提 fd 上限，适合标准化环境；但个别容器有特殊需求时，仍建议用 --ulimit 覆盖
- 不推荐在 daemon.json 中设 default sysctl，因不同服务对参数敏感度差异大（如数据库与 Web 服务需求相反）
