选对网络驱动是容器通信又稳又快的关键：bridge适合开发与中小服务但有nat延迟；host模式性能最优但需端口协调；macvlan兼顾隔离与性能，适合直连物理网络；overlay专为跨主机设计但有3%~5%吞吐损耗。
直接用对网络模式、配好参数、管住资源，容器集群通信就能又稳又快。关键不是堆功能，而是按场景选准路径。
选对网络驱动，先定通信底座
bridge 是默认选项，适合开发和中小规模服务，但 NAT 层会引入微小延迟；host 模式绕过所有虚拟网络层，性能接近裸机，适合数据库、实时计算等低延迟刚需，但端口必须全局协调；macvlan 让容器拥有真实 MAC 和 IP，直接接入物理二层网络，隔离性与性能兼顾，适合工业网关或需直连交换机的场景；overlay 专为 Swarm 或跨主机编排设计，自带服务发现和加密隧道，但 VXLAN 封装带来约 3%~5% 吞吐损耗，节点数超过 50 时建议启用 BGP 路由替代默认洪泛机制。
- 单机多服务：用自定义 bridge 网络，避免默认 docker0 的地址冲突风险
- 高吞吐中间件（如 Kafka broker）：优先 host 模式，配合 --ulimit net_core.somaxconn=65535 提升连接队列
- 跨主机微服务集群：overlay + 自定义 VXLAN 端口 + MTU=1450（适配底层网络），禁用默认的 key-value 存储后端改用 Consul
调准 MTU 和 DNS，减少隐性卡顿
MTU 不匹配会导致 TCP 分片或路径 MTU 发现失败，引发重传和延迟抖动。Docker 默认 1500，在 overlay 或云环境（如 AWS VPC）中常需下调至 1450 或 1400；macvlan 则可设为 9000（巨帧）以提升批量传输效率。DNS 解析慢是高频瓶颈——容器内默认走宿主机 resolv.conf，若宿主机 DNS 不稳定，会拖慢所有 HTTP 请求。应显式指定可信 DNS（如 1.1.1.1），并启用本地缓存（dnsmasq 容器部署在集群边缘，ttl=30s）。
- 创建网络时固定 MTU：
docker network create --opt com.docker.network.driver.mtu=1450 my-overlay - 运行容器时绑定 DNS：
docker run --dns 1.1.1.1 --dns-search svc.cluster.local ... - 避免使用默认 bridge 网络跑生产服务，它不支持自定义 MTU 和 DNS 覆盖
用自定义网络隔离+带宽控制，防止单点拖垮集群
默认 bridge 网络所有容器共享同一广播域，一个 misbehaving 容器发大量 ARP 或 ICMP 流量，就可能影响全网。自定义 bridge 网络天然隔离，再配合 ingress/egress 带宽限制（--label com.docker.network.ingressbandwidth=50m），能有效遏制异常流量。对关键链路（如 API 网关到认证服务），还可通过 macvlan 分配独立子网，彻底规避虚拟交换机争抢。
- 为不同业务域建独立网络：
docker network create --driver bridge --subnet 10.10.1.0/24 api-net - 限流示例：
docker run -l com.docker.network.egressbandwidth=20m nginx - 敏感服务加 internal:true，禁止外部访问：
networks: {app-net: {internal: true}}（Compose 中）
监控与诊断不能只看 ping 通不通
ping 和 curl 成功不代表通信高效。真正要盯的是：TCP 重传率（ss -i 查 rto、retrans）、DNS 解析耗时（time nslookup service）、容器间 RTT 方差（用 netshoot 容器跑 mtr）。cAdvisor 可暴露 /metrics 接口，Prometheus 抓取 container_network_receive_packets_total 等指标，当某容器 receive_drop_total 异常上升，大概率是 buffer 溢出或 MTU 错配。
- 快速诊断命令：
docker run --rm -it --net container:target_container nicolaka/netshoot mtr --report api-service - 关键告警项：TCP retransmit rate > 0.5%，DNS avg latency > 100ms，RX errors per second > 1
- 定期执行：
docker network inspect my-net | jq '.[0].IPAM.Config[0].Subnet'验证子网未漂移
