docker bridge网络是单机容器通信方案，仅用于同一主机内服务互联（如nginx+php+redis），不支持跨主机；大型网站需结合kubernetes/swarm调度、自定义bridge网络隔离业务层、ingress网关对外暴露及consul等服务发现机制协同工作。
Docker Bridge 网络本身不适用于大型网站的跨主机架构，它本质是单机网络方案。真正支撑大型网站的，是在 Bridge 模式基础上做分层设计与组合使用——核心不是“怎么配 Bridge”，而是“Bridge 在什么位置、和什么配合、怎么规避它的局限”。
下面从实际落地角度，讲清楚大型网站中 Bridge 网络的真实角色和配置逻辑：
Bridge 网络在大型架构里只用在单机服务编排层
它负责同一台物理机或云服务器上的多个容器间安全互通（比如 Nginx + PHP-FPM + Redis + MySQL 容器），而不是跨机器通信。
典型部署层级：
- 底层：Kubernetes 或 Swarm 集群调度（解决跨节点问题）
- 中层：每台 Worker Node 上，用自定义 Bridge 网络隔离业务模块
- 上层：通过 Ingress / API 网关统一对外暴露，内部服务名直连
所以配置重点不是 docker0，而是每个业务单元一个自定义 bridge 网络。
必须用自定义 Bridge，不能依赖默认 docker0
默认 bridge（docker0）不支持 DNS 服务发现，IP 不固定，且所有容器混在一个网段，不符合生产隔离要求。
正确做法：
-
为每个微服务组创建独立网络
docker network create --driver bridge --subnet 172.21.0.0/16 --gateway 172.21.0.1 web-tier docker network create --driver bridge --subnet 172.22.0.0/16 --gateway 172.22.0.1 data-tier
-
启动容器时显式指定网络和静态 IP（可选但推荐，便于监控和排障）
docker run -d --name nginx --network web-tier --ip 172.21.0.10 -p 80:80 nginx docker run -d --name redis --network data-tier --ip 172.22.0.5 redis
Web 层容器通过
redis这个名字就能访问 data-tier 的服务（Docker 内置 DNS 自动解析）
和反向代理、服务发现协同工作
Bridge 解决不了跨机通信，所以大型网站必然引入：
-
Nginx / Traefik 作为边缘代理：监听宿主机 80/443，根据域名或路径把请求路由到对应容器（如
api.example.com → web-tier/nginx） - Consul / etcd + Registrator（或 Kubernetes Service）：当容器启停时自动注册/注销服务地址，供上游调用方发现
- 健康检查 + 自动重连：应用代码里不能硬编码 IP，要通过服务名发起请求，并容忍短暂不可达（例如 Spring Cloud 的 Ribbon 或 OpenFeign 重试）
举例：用户访问
shop.example.com→ DNS 解析到负载均衡器 → 转发到某台 Web 服务器的 80 端口 → Nginx 根据 location 匹配，反向代理到http://php-app:9000→ php-app 容器在web-tier网络内，通过 DNS 找到mysql-db容器（同属data-tier网络，或跨网络用别名打通）
多网络容器：让一个容器同时接入多个 Bridge
大型组件常需跨层通信，比如后台管理服务既要连前端资源，又要查数据库：
docker run -d \ --name admin-api \ --network web-tier \ --network data-tier \ -e DB_HOST=mysql-db \ -e CACHE_HOST=redis-cache \ admin-service:latest
这样它既能用 mysql-db 访问数据库，也能用 nginx 访问静态资源服务，无需暴露中间端口。
安全与可观测性补位要点
- 关闭默认 iptables 规则干扰：启动 Docker 时加
--iptables=false，改由企业级防火墙统一管控 - 所有容器禁用
--privileged，限制 capabilities（如--cap-drop=ALL --cap-add=NET_BIND_SERVICE） - 日志统一输出到 stdout/stderr，由 Filebeat 或 Fluent Bit 收集到 ELK
- 使用
docker stats或 cAdvisor 监控容器网络吞吐、错误包，结合 Prometheus 报警
不复杂但容易忽略。
