最有效方式是使用host网络模式，可绕过docker0网桥、iptables nat和veth pair，将rtt从20ms降至约0.3ms；需注意端口冲突、关闭iptables自动管理、调优tcp内核参数并酌情换用cilium等高性能cni插件。
直接用 host 网络模式是最有效的方式，能绕过 docker0 网桥、iptables NAT 和 veth pair 转发，把网络延迟压到最低。但要注意这不是万能解法，得结合业务隔离需求和部署环境综合判断。
优先改用 host 网络模式
bridge 模式下，每个请求要经过 veth → docker0 → iptables → 物理网卡，多层转发带来明显延迟。host 模式让容器进程直接绑定宿主机网络栈，实测 RTT 可从 20ms 降到 0.3ms 左右。
- 启动时加 --network=host，例如：
docker run --network=host -d nginx - 确保应用监听 0.0.0.0 或宿主机 IP，不能只绑 127.0.0.1
- 端口冲突需自行规避，比如多个容器不能同时占 80 端口
关闭 iptables 自动管理
Docker 默认插入大量 iptables 规则做端口映射和 SNAT，规则越多匹配越慢，高并发下 conntrack 表还容易溢出。关掉它可缩短包转发路径。
- 编辑 /etc/docker/daemon.json，加入：
{"iptables": false} - 执行 systemctl restart docker 生效
- 务必提前配置好宿主机防火墙（如 firewalld）或云平台安全组，否则端口将完全暴露
调优 TCP 内核参数
默认的内核参数是为通用场景设计的，对短连接密集型服务（如 API 网关、微服务调用）并不友好。关键参数调高能显著提升并发处理能力。
- 启动容器时用 --sysctl 覆盖，例如：
docker run --sysctl net.core.somaxconn=65535 --sysctl net.ipv4.tcp_tw_reuse=1 -d app - 重点关注：
net.core.somaxconn（连接队列长度）、net.ipv4.tcp_tw_reuse（TIME-WAIT 复用）、net.core.netdev_max_backlog（网卡软中断队列） - 进容器运行
sysctl -n 参数名验证是否生效
换用高性能 CNI 插件
如果必须用 bridge 或 overlay 模式（比如需要跨主机通信或强隔离），原生的 docker0 + iptables 架构已成瓶颈。Cilium 基于 eBPF 实现数据面加速，吞吐可提升 2–3 倍，延迟降低 40% 以上。
- 卸载旧插件（如 flannel、weave），按 Cilium 官方文档部署
- 启用 eBPF 替代 iptables：
helm install cilium cilium/cilium --set egressMasqueradeInterfaces=eth0 --set bpf.masquerade=true - 对已有集群，建议灰度替换，先跑非核心服务验证稳定性
