host模式性能损耗最小，因其跳过veth pair、docker0网桥和iptables nat，数据包直通宿主机协议栈直达物理网卡，路径与原生进程一致；而bridge模式需经历veth拷贝、网桥转发及nat处理，高并发小包下延迟高出30%–47%。
Host 网络模式基本没有性能损耗，它是 Docker 所有网络模式中开销最小的一种。
为什么 Host 模式几乎没有损耗
数据包不经过任何虚拟化中间层：
- 跳过 veth pair 虚拟网卡对，避免两次内核态上下文切换和内存拷贝
- 绕过 docker0 或 cni0 网桥的二层转发逻辑
- 完全不触发 iptables NAT 规则（如 MASQUERADE、DNAT），省去连接跟踪（conntrack）查表与地址重写
- 网络栈路径与宿主机上原生进程一致，走标准 TCP/IP 协议栈直达物理网卡
对比 Bridge 模式的典型开销点
Bridge 模式下每个网络请求都要多走几步：
- veth pair 两端各一次软中断处理
- docker0 网桥基于 MAC 表的泛洪或转发决策
- 进出容器时强制经过 netfilter 链，尤其是 POSTROUTING 和 DOCKER 用户链
- 高并发小包场景下，conntrack 表项创建/查找成为瓶颈，实测延迟可高出 30%–47%
实际影响明显的场景
这些情况能明显感知 Host 模式的低损耗优势：
- 微服务间高频 RPC 调用（如 gRPC 流式通信）
- 实时音视频流、金融行情推送等亚毫秒级延迟敏感服务
- 单机部署大量容器且频繁互访（如本地消息队列消费者集群）
- 压测中吞吐量卡在网卡带宽但 CPU softirq 占用异常高（bridge 模式常见）
要注意的“非性能”代价
零损耗不等于零成本，它用隔离性换来了性能：
- 容器共享宿主机端口空间，多个容器不能同时监听 80 端口
- 无法使用 -p 参数做端口映射，需自行协调端口分配
- 容器内看到的网络状态（如 netstat、/proc/net）和宿主机完全一致，存在信息泄露风险
- iptables 或 nftables 规则变更会直接影响所有 host 模式容器
