docker原生仅支持实验性出站限速，完整qos需用tc+nsenter在容器网络命名空间内配置上下行限速、优先级标记；windows则用netqos策略；k8s场景推荐cni插件实现。
在 Docker 中配置容器网络带宽限制和 QoS 策略，核心是**区分宿主机级控制与容器级精细调度**。Docker 原生命令仅支持部分出站带宽限制，真正可控、稳定、可区分上下行的限速需依赖 Linux 内核的 tc（Traffic Control）工具，并结合容器网络命名空间操作。
使用 Docker 原生参数做基础限速
Docker 从 20.10 版本起，在 docker run 和 docker-compose 中支持简单出站带宽限制（仅限 bridge 网络下的 veth 主机端口），但不支持入站限速、不支持 host 网络、不支持优先级标记（DSCP/802.1p）：
- 限制容器出站带宽为 5 Mbps：
docker run --network bridge --cpus 1 --memory 512m --network=bridge --ulimit nofile=65536:65536 --oobw 5mbps nginx（注意：--oobw是实验性参数，需启用dockerd --experimental，且实际生效依赖 CNI 插件支持，主流发行版默认不启用） - 更常用且稳定的方式是通过
docker-compose.yml配置（需 Docker Engine ≥ 23.0，且使用bridge驱动）：services:<br> notebook:<br> image: jupyter/minimal-notebook<br> deploy:<br> resources:<br> limits:<br> # 注意：这是 CPU/内存限制，不是网络！<br> cpus: '1.0'<br> memory: 1G<br> # 网络带宽需额外用 tc 或外部脚本实现
⚠️ 结论：Docker 原生不提供完整 QoS 功能，不能仅靠 --oobw 或 compose 的 resources 实现可靠带宽保障或优先级调度。
用 tc + nsenter 实现容器级精准限速
这是生产环境最通用、最可靠的方法，适用于所有网络模式（bridge/host/macvlan），可分别控制上传/下载、设置突发缓冲、标记流量优先级：
- 获取目标容器 PID：
CONTAINER_PID=$(docker inspect -f '{{.State.Pid}}' my-notebook) - 进入该容器的网络命名空间并添加 HTB 队列：
nsenter -t $CONTAINER_PID -n tc qdisc add dev eth0 root handle 1: htb default 30 - 创建限速类（例如：下行限 8 Mbps，上行限 2 Mbps）：
nsenter -t $CONTAINER_PID -n tc class add dev eth0 parent 1: classid 1:1 htb rate 8mbit ceil 8mbitnsenter -t $CONTAINER_PID -n tc class add dev eth0 parent 1: classid 1:2 htb rate 2mbit ceil 2mbit - 添加过滤规则（按方向区分）：
nsenter -t $CONTAINER_PID -n tc filter add dev eth0 parent 1: protocol ip u32 match ip src 0.0.0.0/0 flowid 1:2（上行）nsenter -t $CONTAINER_PID -n tc filter add dev eth0 parent 1: protocol ip u32 match ip dst 0.0.0.0/0 flowid 1:1（下行）
✅ 优势：规则运行在容器内部网络栈，不受宿主机 veth 变动影响；支持 DSCP 标记、丢包策略、延迟模拟；可配合 iptables 做五元组分流。
Windows 容器的 QoS 配置方式
在 Windows Server 或 Windows 10/11 上运行 Docker Desktop 时，使用 PowerShell NetQoS 策略更直接：
- 按进程名限速（全局作用于所有 docker.exe 启动的容器）：
New-NetQosPolicy -Name "JupyterLimit" -AppPathNameMatchCondition "docker.exe" -ThrottleRateActionBitsPerSecond 5MB - 按网络接口限速（推荐，更精确）：
New-NetQosPolicy -Name "NotebookNet" -NetworkProfile "Private" -ThrottleRateActionBitsPerSecond 10MB - 结合 VLAN 和优先级（适用于企业 SDN 环境）：
docker network create -d l2bridge --opt com.docker.network.windowsshim.qos=high --subnet=192.168.10.0/24 my-qos-net
? 提示：Windows QoS 策略对容器内应用透明，无需修改镜像或启动脚本，适合快速上线。
自动化与持久化建议
手动执行 tc 命令易遗漏、难维护。推荐以下实践：
- 在容器启动脚本中嵌入
nsenter + tc初始化逻辑（适用于自定义镜像） - 使用守护进程监听
docker events，检测容器 start/stop 自动增删 tc 规则 - 在 Kubernetes 场景下，改用 CNI 插件（如 Calico 的
BandwidthCRD 或 Cilium 的 eBPF 流量整形）替代单机 tc - 验证是否生效：进容器运行
iperf3 -c <server></server>测试吞吐，再用tc -s class show dev eth0查看统计（sent、dropped、overlimits）
关键不是“能不能设”，而是“设在哪一层”——宿主机网卡、veth 主机端、容器内 eth0，三者效果完全不同。选对位置，才能让 QoS 真正落地。
