企业级docker网络配置核心是分层设计与驱动选型：bridge适用于单机隔离但需自定义子网避免冲突，overlay支撑swarm跨主机通信且依赖vxlan和udp 4789端口，macvlan使容器直通物理网段需混杂模式支持；须禁用icc、显式连接网络、结合iptables/nftables实施细粒度访问控制，并通过dns服务发现、内核调优及接口指标监控保障可观测性。
企业级 Docker 容器网络配置，核心是兼顾隔离性、互通性、可观测性和安全可控。不能只依赖默认的 bridge 网络，而要按业务域、环境（dev/test/prod）、安全等级分层设计。
明确网络模型选型与适用场景
企业中常用三种驱动，选错会带来运维瓶颈：
-
bridge（单机隔离）：适合开发测试或单节点部署服务，但跨主机通信需额外打通；默认
docker0网段易冲突，必须通过daemon.json中bip字段自定义，例如：{"bip": "172.20.0.1/16", "default-address-pools": [{"base": "172.21.0.0/16", "size": 24}]} -
overlay（跨主机通信）：Swarm 集群默认使用，底层基于 VXLAN 封装，支持服务发现和 DNS 负载均衡；需确保各节点间 UDP 4789 端口互通，且内核启用
vxlan模块 - macvlan（直通物理网段）：容器拥有独立 MAC 和真实 IP，适用于需要接入现有 VLAN 或对接传统防火墙策略的场景；注意宿主机网卡需支持混杂模式，且不能与宿主机同网段共用 IP
精细化网络策略控制
默认允许所有容器互访，生产环境必须收敛：
- 禁用默认容器互通：在
/etc/docker/daemon.json中设"icc": false，再配合user-defined bridge网络显式连接所需容器 - 限制跨网络访问：创建网络时指定子网和网关，如
docker network create --subnet=10.10.100.0/24 --gateway=10.10.100.1 app-prod，不同网络天然隔离 - 细粒度防火墙规则：结合
iptables或nftables，对docker0或br-*网桥入口做INPUT和FORWARD限流/白名单，例如只允许可信源访问容器暴露端口
容器通信与服务发现落地要点
避免硬编码 IP，靠机制自动解决：
- Swarm 模式下，同一 overlay 网络内的服务名可直接解析为 VIP（虚拟 IP），支持内置 DNS 轮询；跨网络访问需通过
ingress网络或显式发布端口 - 若用 Kubernetes，网络由 CNI 插件（如 Calico、Cilium）统一管理，容器 IP 全局可达，DNS 基于 Service 名解析，无需额外配置
- 非编排环境建议用
docker-compose的networks定义 +external_links显式关联，不依赖默认 bridge
性能与可观测性配套设置
网络不是配完就结束，得能查、能调、能监控：
- 调整内核参数：增大 conntrack 表项（
net.netfilter.nf_conntrack_max=131072），优化 TCP 时间戳和回收（net.ipv4.tcp_tw_reuse=1） - 启用日志驱动：对关键网络容器（如 nginx ingress、API 网关）启用
json-file或syslog驱动，并挂载--log-opt max-size=10m --log-opt max-file=3 - 集成监控：采集
cni0、docker0及各veth接口的 RX/TX、drop、error 指标，配合 Prometheus + Grafana 建立网络健康看板
