在 docker-compose.yml 中为服务配置 sysctls 是优化服务间并发连接最有效方式，需精准设置 net.core.somaxconn、net.ipv4.tcp_tw_reuse、net.core.netdev_max_backlog 和 net.ipv4.ip_local_port_range 四个参数，并确保值为带引号字符串、不混用 host 网络、宿主机内核支持且版本 ≥1.12。
直接在 docker-compose.yml 中为对应服务配置 sysctls，并确保参数值、格式、网络模式与宿主机内核支持四者匹配，是解决服务间并发瓶颈最有效的方式。关键不在于统一调高所有参数，而是精准覆盖连接建立、TIME_WAIT复用、端口分配和接收队列这四个瓶颈环节。
确认哪些参数真正影响服务间通信
服务间通信（如 app → redis、app → postgres）走的是 Docker 默认 bridge 网络，此时容器拥有独立的网络命名空间，但共享宿主机内核。以下参数对跨服务并发连接影响最大：
- net.core.somaxconn：决定服务监听 socket 的全连接队列长度。若 app 调用 redis 的连接数突增，而 redis 容器该值仍为默认 128，新连接会被丢弃或延迟 accept
- net.ipv4.tcp_tw_reuse：允许客户端（如 app 容器）快速复用 TIME_WAIT 状态的本地端口。短连接密集的服务间调用（如 HTTP API 网关调下游）高度依赖它
- net.core.netdev_max_backlog：网卡软中断队列长度。当 app 高频发请求给 db，而 db 容器处理稍慢时，该值过小会导致包被内核丢弃
- net.ipv4.ip_local_port_range：扩大出站连接可用端口范围，避免 app 容器因端口耗尽无法新建到其他服务的连接
在 docker-compose.yml 中正确声明 sysctls
必须使用键值对格式，并将所有值写成带引号的字符串；不能混用 host 网络模式；且需避开只读或被锁定的参数：
- 写法正确示例（推荐）：
services: api: image: myapp:latest sysctls: net.core.somaxconn: "65535" net.ipv4.tcp_tw_reuse: "1" net.core.netdev_max_backlog: "5000" net.ipv4.ip_local_port_range: "1024 65535" - 错误写法举例：
-
net.core.somaxconn: 65535（缺引号，YAML 解析为整数，Docker 拒绝） -
- net.core.somaxconn=65535（旧式字符串列表，在较新 Compose 版本中兼容性下降） - 同时设置
network_mode: host—— 此时sysctls完全失效
-
验证是否生效且排除常见干扰
启动后必须进入容器内部验证，不能仅看 compose 文件是否无报错：
- 执行：
docker-compose exec api sysctl net.core.somaxconn，输出应为net.core.somaxconn = 65535 - 检查 proc 接口：
docker-compose exec api cat /proc/sys/net/core/somaxconn，结果需一致 - 若值未变，优先排查：
- Docker 版本是否 ≥ 1.12（
sysctls自此版本引入） - 宿主机是否启用 kernel lockdown 或 SELinux 限制（可临时设为 permissive 模式测试）
- 是否被上层编排工具（如 Swarm stack deploy）覆盖了配置
- Docker 版本是否 ≥ 1.12（
配套调整不可忽略的资源项
仅改 sysctls 不足以释放并发能力，还需同步放开文件描述符与 conntrack 表限制：
- 在服务定义中添加 ulimit：
ulimits: nofile: soft: 65536 hard: 65536 - 若使用 bridge 网络（默认），宿主机需增大 conntrack 表上限：
sudo sysctl -w net.netfilter.nf_conntrack_max=1048576- 并写入
/etc/sysctl.conf持久化
- 注意：host 网络模式下无需 conntrack，但需自行管理端口冲突和防火墙规则
