Macvlan是最直接的物理网卡透传方案，让容器绑定宿主机物理网卡（如eth0），获得独立MAC和IP地址，跳过NAT与虚拟交换机，实现零拷贝、低延迟网络IO。
Macvlan 是最直接的物理网卡透传方案
Macvlan 模式让容器直接绑定到宿主机物理网卡（如 eth0），获得独立 MAC 和 IP 地址，跳过 NAT 和虚拟交换机，实现零拷贝、低延迟的网络 IO。它不依赖 docker0 网桥，也不修改宿主机路由表，流量直通物理网络，适合对吞吐量和时延敏感的场景（如实时音视频、高频交易、ROS2 通信）。
创建 Macvlan 网络的关键参数
执行命令前需确认物理网卡处于 UP 状态且未被其他服务独占（如 NetworkManager 可能干扰）。关键选项必须准确：
-
--subnet：必须与物理网络同段，例如
192.168.5.0/24，不能是私有保留网段（如 172.17.0.0/16） -
--gateway：填写物理网关地址（如
192.168.5.1），不是 docker0 的默认网关 -
-o parent=eth0：指定真实物理接口名，可用
ip link show确认；若用 bond 或 vlan 子接口（如 eth0.100），此处也应填对应名称 - -o macvlan_mode=bridge（可选）：启用同一物理网卡下容器间二层互通；默认 private 模式下容器彼此隔离
启动容器并验证直通效果
分配静态 IP 启动容器后，需验证三层可达性和二层特征：
- 使用
docker run --net=my_macvlan --ip=192.168.5.100 -it alpine sh启动 - 进入容器执行
ip a，确认 eth0 的 IP 和 MAC 与宿主机物理网卡不同，且无 veth 设备 - 从容器 ping 物理网关、同网段其他设备，以及宿主机该网卡 IP（非 127.0.0.1）
- 在宿主机用
tcpdump -i eth0 icmp抓包，应看到原始 ICMP 流量，而非封装包
注意事项与常见避坑点
Macvlan 直通依赖底层网络支持，配置错误会导致容器失联或影响宿主机网络：
- 物理交换机需允许未知 MAC 地址学习（关闭端口安全或 sticky MAC 限制）
- 部分云平台（如 AWS EC2、阿里云 ECS）默认禁用辅助网卡多 MAC，需在控制台开启“启用多个 IP”或“启用 MAC 透传”
- 宿主机本身不应再使用该物理网卡的 IP（建议将宿主机管理 IP 绑定到另一张网卡或 loopback）
- Macvlan 容器无法直接访问宿主机上监听在 0.0.0.0 的服务（因流量不经过宿主机协议栈），需通过宿主机另一 IP 或额外 host-local 路由解决
