优先启用host网络模式可显著缩短路径、减少转发跳数，启动时加--network=host并确保监听0.0.0.0；其次调优tcp参数如net.core.somaxconn和net.ipv4.tcp_tw_reuse；还可禁用iptables转发链或换用cilium等高性能cni插件。
直接用容器网络调优手段缩短路径、减少转发跳数，比在应用层反复配置代理或改 DNS 更底层、更稳定。
优先启用 host 网络模式
默认 bridge 模式会经过 docker0 网桥、iptables NAT 和 netfilter 链，多出至少两层内核转发。host 模式让容器进程直接使用宿主机网络栈，路径最短、延迟最低。
- 启动时加 --network=host，例如：
docker run --network=host -d myapp - 确保应用监听 0.0.0.0 而非 127.0.0.1，否则无法被外部访问
- 注意：该模式下容器不拥有独立网络命名空间，端口冲突需自行规避
精简 TCP 协议栈参数
容器常因内核默认参数偏保守，导致连接建立慢、并发低、TIME_WAIT 积压。关键参数应在启动时显式设置。
- 增大连接队列：--sysctl net.core.somaxconn=65535
- 复用 TIME_WAIT 套接字：--sysctl net.ipv4.tcp_tw_reuse=1
- 放宽本地端口范围：--sysctl net.ipv4.ip_local_port_range="1024 65535"
- 进容器后执行
sysctl -p或直接读/proc/sys/下对应值验证是否生效
绕过 iptables 转发链
Docker 默认启用 iptables 规则做端口映射和流量拦截，对高吞吐或低延迟场景是明显瓶颈。
- 启动 Docker daemon 时添加 --iptables=false（需配合 host 模式或自定义 CNI）
- 若必须用 bridge，可临时禁用容器的 iptables 规则：
docker run --iptables=false ... - 注意：此举会关闭端口映射（-p），仅适用于 host 模式或已有外部负载均衡的场景
换用高性能 CNI 插件
当业务规模扩大、bridge 模式已成瓶颈，且不能全量切 host 模式时，Cilium 是较成熟的替代方案。
- Cilium 基于 eBPF 实现 L3/L4 流量控制，绕过传统 iptables 和 conntrack，延迟更低
- 支持透明加密、服务网格集成、细粒度网络策略，适合微服务通信路径优化
- 部署前需确认内核版本 ≥ 4.19，并加载 bpf 相关模块
