host模式本质是容器复用宿主机网络命名空间，取消网络虚拟化：共享/proc/net等网络视图、直连物理网卡、端口全局唯一；省去veth拷贝、网桥转发、iptables规则三重开销，实测延迟降71%、吞吐提至9.8gbps；需监听0.0.0.0、开放防火墙、避免端口冲突。
Host 模式本质是让容器放弃独立网络命名空间，直接复用宿主机的整个网络栈。它不是“加速”，而是“去中介”——删掉 Docker 默认加的那层网络虚拟化，让应用收发包路径缩短到极致。
共享网络命名空间：没有隔离，只有继承
Linux 的 Network Namespace 是容器网络隔离的基础。Bridge 模式为每个容器新建一个命名空间，再通过 veth pair 连到 docker0 网桥；而 Host 模式跳过这一步，容器进程启动时直接运行在宿主机默认命名空间中。这意味着：
- 容器看到的 /proc/net/、ip route、iptables 规则 和宿主机完全一致
- 所有网络接口（如 eth0、lo）可直接访问，无需虚拟设备转发
- 端口空间全局唯一，容器监听 80 就等于宿主机在监听 80
零转发开销：绕过三道内核瓶颈
Bridge 模式下，一个 TCP 包从容器发出需经过：容器协议栈 → veth pair 拷贝 → docker0 网桥转发 → iptables NAT 规则匹配 → 宿主机协议栈 → 物理网卡。Host 模式彻底省掉其中三段：
- 无 veth pair 内存拷贝：避免两次跨 namespace 数据复制
- 无 docker0 网桥转发逻辑：跳过桥接代码路径与锁竞争
- 无 iptables DNAT/SNAT 遍历：不触发 conntrack 查表与地址重写
实测在 AWS c5.xlarge 实例上，Host 模式平均延迟 0.11ms，比 Bridge 模式（0.38ms）降低 71%，吞吐从 2.1Gbps 提升至 9.8Gbps。
原生级通信能力：直连硬件与协议栈优化
由于共享宿主机网络栈，容器可直接使用底层高性能机制：
- 绑定 AF_PACKET 或 DPDK 用户态网卡驱动，绕过内核协议栈
- 调用 SO_REUSEPORT 实现多进程负载均衡，无需额外代理
- 启用 tcp_tw_reuse、增大 rmem_max/wmem_max 等内核参数，针对性优化短连接或高吞吐场景
性能优势的前提条件与硬约束
超高吞吐不是自动获得的，必须满足几个关键前提：
- 容器内服务必须监听 0.0.0.0:端口，而非 127.0.0.1（否则仅限本机 loopback 访问）
- 宿主机防火墙（如 firewalld）需放行对应端口，不能依赖 Docker 自动配置 iptables
- 多个容器不可监听同一端口，冲突会直接失败（bind: address already in use）
- 若需跨容器通信，不能依赖 Docker DNS，须用宿主机 IP + 端口硬编码或外接服务发现
