docker bridge网络性能优化需从网络路径、规则管理和拓扑设计三层面减少内核转发开销：用自定义bridge替代默认docker0以支持dns发现和强隔离，精简iptables规则（如内网服务禁用端口映射），调优内核参数（关闭stp、增大conntrack表），必要时对延迟敏感服务改用host模式。
Docker Bridge 网络性能优化不是靠“调参数”堆出来的，而是从网络路径、规则管理和拓扑设计三个层面减少内核转发开销。默认 bridge 模式虽方便，但每条流量都要走 veth pair → docker0 网桥 → iptables NAT → 宿主机路由，链路长、上下文切换多，高并发下容易成为瓶颈。
用自定义 bridge 替代默认 bridge
默认的 `bridge` 网络（即 `docker0`）不支持 DNS 服务发现，且所有容器共享同一子网，iptables 规则随容器增减动态膨胀，影响匹配效率。 - 创建带固定子网和网关的自定义网络，避免 IP 冲突和 DHCP 开销 - 启用嵌入式 DNS，容器间直接用服务名通信，省去额外解析请求 - 网络隔离更强，不同项目互不干扰，也便于监控和限流示例命令：
docker network create \ --driver bridge \ --subnet 172.20.0.0/24 \ --gateway 172.20.0.1 \ --opt com.docker.network.bridge.enable_icc=true \ app-net
精简 iptables 规则，关闭无用 NAT
Bridge 模式下 `-p 8080:80` 会自动插入 DNAT/SNAT 规则，但若容器只在内部通信（如 web ←→ db），根本不需要端口映射。 - 对纯内网服务，去掉 `ports:` 字段，避免生成冗余 iptables 条目 - 使用 `--ip` 固定容器 IP，配合静态路由或 host 文件，绕过动态 DNS 解析开销 - 定期清理失效规则：`iptables -t nat -L --line-numbers` 查看，再用 `-D` 删除不用的链常见误操作：
- 为数据库容器暴露 3306 端口给宿主机——其实只需内部访问
- 多个 Compose 项目共用默认 bridge，导致 DNS 解析冲突和规则混杂
调整内核网络参数，降低转发延迟
Linux 网桥默认行为偏保守，适合通用场景，但对高频小包转发不够友好。可在宿主机上做轻量调优： - 关闭网桥 STP（生成树协议）：`echo 0 > /sys/class/net/docker0/bridge/stp`（STP 在单机无环拓扑中纯属负担） - 提高 netfilter conntrack 表大小，防止连接跟踪耗尽：`sysctl -w net.netfilter.nf_conntrack_max=65536` - 减少 ARP 缓存老化时间，加快容器 IP 变更后的地址解析响应：`sysctl -w net.ipv4.neigh.docker0.gc_stale_time=60`必要时绕过 bridge，改用 host 模式
不是所有服务都适合 bridge。对延迟敏感、吞吐量大的组件（如 API 网关、实时消息代理、gRPC 服务），host 模式能跳过整套虚拟网络栈。 - 直接绑定宿主机端口，零 NAT、零 veth、零网桥转发 - 需自行管理端口冲突和防火墙策略，但换来的是微秒级延迟下降 - 可混合使用：db 和 cache 用 bridge，gateway 用 host，兼顾安全与性能启动示例：
docker run -d \ --network host \ --name api-gateway \ -e PORT=80 \ my-gateway:latest
