高并发场景下docker容器网络需避开默认bridge，选用host、macvlan或自定义bridge驱动，并调优内核参数、限制容器资源、精简访问路径。
高并发场景下，Docker容器网络配置不能只靠默认桥接模式硬扛。核心是减少转发开销、提升连接吞吐、避免NAT瓶颈，并保障跨容器通信稳定。
选对网络驱动，避开默认bridge的性能短板
默认的bridge网络在高并发时会因iptables规则膨胀和NAT转换引入明显延迟。生产环境应按需选用更高效的驱动：
-
Host模式：容器直接复用宿主机网络栈，零NAT、零虚拟网卡开销，适合API网关、实时服务等对延迟极度敏感的组件；命令示例：
docker run --network host ... - Macvlan：为容器分配独立MAC和IP，使其在网络中像物理机一样直连交换机，绕过宿主机内核转发，适用于订单、支付等关键链路；需提前配置父接口（如eth0）并创建macvlan网络
-
自定义bridge：比默认bridge更可控，支持DNS自动发现、子网隔离和带宽限制；创建命令：
docker network create --driver bridge --subnet=172.20.0.0/16 app-net
调优内核与网络参数，撑住海量连接
单靠Docker配置不够，必须同步强化宿主机底层能力：
- 增大TCP连接队列：
net.core.somaxconn=65535（而非默认128），防止SYN包被丢弃 - 启用TIME-WAIT复用：
net.ipv4.tcp_tw_reuse=1，加速端口回收 - 放宽本地端口范围：
net.ipv4.ip_local_port_range="1024 65535"，提升瞬时连接数上限 - 扩大文件句柄数：
fs.file-max=1000000，匹配高并发下的socket和日志需求
这些参数写入/etc/sysctl.conf后执行sysctl -p生效。
控制容器级网络资源，防止单点打满
即使网络驱动选得对，失控的容器仍可能拖垮整台宿主机：
- 限制并发连接能力：用
--pids-limit=200约束进程数，间接控住fork型服务的连接上限 - 限制网络带宽（仅bridge/macvlan支持）：
--network-bandwidth=10mbps防止单容器占满物理网卡 - 调大conntrack表项：
net.netfilter.nf_conntrack_max=655360，避免NAT连接跟踪溢出导致丢包 - 为关键服务单独配macvlan网络，与其他业务物理隔离，避免ARP风暴或广播干扰
外部访问路径要精简，减少跳转层级
用户请求到容器的链路越短，延迟越低、稳定性越高：
- 避免多层代理：Nginx → Docker bridge → 容器，改为Nginx直接反向代理host模式容器，或用macvlan让容器IP暴露给LVS/SLB
- 宿主机服务访问走
172.17.0.1（Linux）或host.docker.internal（Mac/Win），不依赖DNS或额外路由 - 跨主机通信优先用
overlay网络+Swarm或K8s CNI，而非手动配置iptables或路由
