使用docker自定义bridge网络可提升容器网络稳定性，通过隔离、固定子网、内建dns和可预测ip实现可控通信；结合健康检查、合理选择网络驱动（overlay/host/macvlan）、限速及dns/mtu调优等手段，从底层加固应用可靠性。
直接用好 Docker 网络特性，能从底层加固容器应用的稳定性，不是加监控或写重试逻辑那种“补丁式”做法，而是让网络本身更稳、更可控、更可预期。
用自定义 bridge 网络替代默认网络
默认 bridge 网络（docker0）共享同一子网、无 DNS 自动解析、IP 分配不可控，容易引发端口冲突和服务发现失败。换成自定义 bridge 网络，就能获得隔离、固定子网、内建 DNS 和可预测 IP 行为。
- 创建带子网和网关的专用网络：
docker network create --subnet 172.20.0.0/16 --gateway 172.20.0.1 myapp-net - 启动容器时显式指定网络：
docker run --network myapp-net --name api-server nginx - 同网络内容器可直接用容器名通信（如
curl http://api-server），无需暴露端口或硬编码 IP
启用健康检查并绑定网络就绪逻辑
仅靠进程存活不等于服务可用。Docker 健康检查可与网络状态联动，避免流量打到未完成 TCP 握手或依赖未就绪的容器上。
- 在 docker run 中加入健康探测：
--health-cmd "nc -z localhost:8080" --health-interval 10s --health-timeout 3s --health-retries 3 - 搭配 Swarm 或 Compose 时，健康状态会直接影响服务发现：只有 HEALTHY 的实例才被负载均衡器纳入路由池
- 对数据库类容器，建议把健康检查写成连接+简单查询（如
mysqladmin ping -u root -p$PASS），而非仅检测端口
按场景选对网络驱动，不盲目用 bridge
不同驱动解决不同可靠性痛点。选错驱动，轻则延迟高、重则单点故障。
- 跨主机高可用服务：用 overlay 驱动（需 Swarm 模式），自动处理节点失联后的服务重调度和 DNS 更新
- 低延迟关键服务（如实时风控、高频交易）：改用 host 模式，绕过 NAT 和网桥，延迟压到 0.05ms 级别
- 需要物理网段直连或 VLAN 隔离：用 macvlan，容器获得真实 MAC 和物理网段 IP，故障域与宿主机网卡强绑定，便于网络设备级监控
- 避免在生产环境长期使用默认 bridge，尤其当多个服务共用 docker0 时，iptables 规则膨胀易引发丢包或 conntrack 耗尽
限制网络行为，防止单点拖垮整体
一个异常容器疯狂发包或 DNS 泛洪，可能让整台宿主机网络卡死。通过网络层限速和隔离提前兜底。
- 限制出向带宽：
docker run --network myapp-net --network-bandwidth 5mbit nginx - 指定可信 DNS 服务器，禁用默认的 8.8.8.8（易被污染）：
--dns 10.10.10.10 --dns-option timeout:2 - 调小 MTU 防分片（尤其在 VXLAN 或 Overlay 场景下）：
docker network create --opt com.docker.network.driver.mtu=1450 my-overlay - 对非必要外联容器（如日志收集器），用
--network none+ 手动 veth 连接，彻底切断默认网络路径
