最稳定通用的方式是在宿主机上对容器对应的 veth 虚拟网卡配置 tc 限速规则；docker 原生命令不支持带宽限制，需用 linux tc 工具在宿主机网络命名空间操作，通过查找 veth 接口、添加 tbf 或 htb 规则实现出口限速，并注意规则持久化与清理。
最稳定通用的方式是在宿主机上对容器对应的 veth 虚拟网卡配置 tc（Traffic Control） 限速规则。Docker 原生命令不支持网络带宽限制，必须借助 Linux 内核的 tc 工具，在宿主机网络命名空间中操作——无需进入容器、不依赖额外镜像，也规避权限与安全风险。
定位容器对应的 veth 接口
每个桥接网络下的容器，在宿主机侧都有一条 vethxxx 设备，一端连容器 eth0，另一端挂在 docker0（或自定义 bridge）上。你要操作的是宿主机端的那条：
- 查容器 IP 和 MAC：
docker inspect myapp | grep -A 5 "IPAddress\|MacAddress" - 根据 MAC 找 veth 名：
ip -br link show | grep -B1 'aa:bb:cc:dd:ee:ff' | head -1 | awk '{print $1}' - 确认接口状态：
ip link show vethabcd12（应为 UP 状态）
用 tc 添加出口限速规则
限速只作用于容器发往外部的流量（egress），即从容器 → 宿主机 → 外网方向。规则必须加在 veth 的宿主机端，且需 root 权限：
- 简单固定限速（推荐初试）：
tc qdisc add dev vethabcd12 root tbf rate 2mbit burst 32kbit latency 400ms - 清除已有规则再重设（避免冲突）：
tc qdisc del dev vethabcd12 root - 若需保底+弹性（如多容器共享带宽），改用 HTB：
tc qdisc add dev vethabcd12 root handle 1: htb default 30tc class add dev vethabcd12 parent 1: classid 1:1 htb rate 2mbit ceil 3mbit
验证与注意事项
查看当前规则：tc qdisc show dev vethabcd12
- 规则仅影响出向；入向（ingress）需借助 ifb 模块重定向，复杂度高，通常不必要
- 容器销毁后规则不会自动清除，建议配合脚本或监听
docker events --filter 'event=destroy'清理 -
--network=host模式下无法按容器粒度限速，因网络栈共享宿主机
集群与自动化延伸
单节点多容器可为每个 veth 单独配置 tbf，或统一用 htb 划分 class 实现配额；Kubernetes 环境优先使用支持 bandwidth 的 CNI 插件（如 Calico + bandwidth plugin 或 Cilium eBPF），通过 Pod annotation 声明式限速；也可用 wondershaper vethabcd12 2048 0（单位 KB/s，上行设为 0 表示不限）简化命令，适合 CI/CD 或测试环境。
