Docker容器网络监控与限速需借助Linux内核工具：先通过docker inspect获取容器IP/MAC及PID，再用ls -l /sys/class/net/veth*/address反查veth接口；出向限速推荐在宿主机veth端用tc配置HTB队列；监控可用nsenter读取/sys/class/net/eth0/statistics/{rx,tx}_bytes实时统计。
在 Docker 中配置容器网络流量监控与限速，不能靠 docker run 原生命令直接完成，必须借助 Linux 内核原生工具（tc、nsenter、iptables 或 sysfs 接口），配合容器的网络命名空间操作。核心逻辑是：先定位容器在宿主机上的虚拟网卡（veth），再进入其网络命名空间施加控制或读取统计。
快速定位容器对应的 veth 接口和 PID
每个容器在 bridge 网络下都会在宿主机生成一对 veth 设备，一端挂载到 docker0，另一端接入容器内部。要操作它，需两步：
- 查容器 IP 和 MAC：
docker inspect| grep -A 5 "NetworkSettings" - 用 MAC 反查 veth 名称：
ls -l /sys/class/net/veth*/address 2>/dev/null | grep，输出类似/sys/class/net/vethabcd12/address，其中vethabcd12就是目标接口 - 获取容器进程 PID：
docker inspect -f '{{.State.Pid}}'，假设返回12345
对出向流量（egress）做限速（推荐方式）
限速最稳定、易管理的方式是在宿主机上对 veth 的主机端配置 tc。它只影响容器发往外部的流量（上传/响应），无需容器内安装工具或提权。
- 加载 HTB 队列：
tc qdisc add dev vethabcd12 root handle 1: htb default 30 - 添加限速类（例如 2Mbps）：
tc class add dev vethabcd12 parent 1: classid 1:1 htb rate 2mbit - 将所有容器出口流量导向该类：
tc filter add dev vethabcd12 protocol ip parent 1:0 prio 1 u32 match ip src/32 flowid 1:1
注意：此配置作用于宿主机网络命名空间，容器重启后不会自动恢复，建议写成脚本或配合容器启动钩子调用。
轻量级实时流量监控（不依赖额外服务）
无需部署 vnStat 或 Prometheus，直接读取内核暴露的网卡统计文件即可获得精确字节数：
- 查容器内
eth0接收字节数（下行/下载）：nsenter -t 12345 -n cat /sys/class/net/eth0/statistics/rx_bytes - 查发送字节数（上行/上传）：
nsenter -t 12345 -n cat /sys/class/net/eth0/statistics/tx_bytes - 两次采样求差值，再除以时间间隔，即可算出平均速率（单位：B/s）
该方法零开销、无侵入，适合集成进简单监控脚本或健康检查逻辑中。
可选：容器内限速（需权限与工具）
若需更灵活策略（如双向限速、基于端口分类），可在容器内部配置 tc，但需满足两个前提：
- 容器启动时加
--cap-add=NET_ADMIN，否则tc命令会因权限拒绝失败 - 镜像中需预装
iproute2（含tc），或通过包管理器动态安装 - 进入容器后执行：
tc qdisc add dev eth0 root tbf rate 1mbit burst 32kbit latency 400ms
这种方式规则随容器生命周期存在，删除容器即清理，但安全策略通常限制 NET_ADMIN，生产环境慎用。
