高并发场景下docker性能优化核心是选对网络模式、卡死资源上限、调透宿主机内核：禁用默认bridge，优先host或macvlan模式；设--cpus、-m、--pids-limit等硬限制；调优net.core.somaxconn、tcp_tw_reuse等内核参数。
高并发场景下，Docker 性能不是靠“堆容器”撑起来的，而是靠精准控制资源、绕开网络瓶颈、压稳底层系统。核心就三点：选对网络模式、卡死资源上限、调透宿主机内核。
网络驱动必须换，默认 bridge 是性能陷阱
默认 bridge 模式在 2000+ 并发时就会因 iptables 规则膨胀和 NAT 转发拖慢响应。生产环境要按服务角色选驱动：
-
Host 模式：适合 API 网关、实时推送等低延迟服务，容器直接用宿主机网络栈，零 NAT、零虚拟网卡开销；命令示例：
docker run --network host nginx -
Macvlan 模式：给容器分配独立 MAC 和 IP，直连物理交换机，绕过宿主机内核转发；需提前指定父接口（如 eth0），创建命令：
docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 mynet -
自定义 bridge：比默认 bridge 更可控，支持 DNS 自动发现、子网隔离和带宽限制；创建命令：
docker network create --driver bridge --subnet=172.20.0.0/16 app-net
宿主机内核参数不调，再好的 Docker 配置也白搭
高并发本质是海量 TCP 连接 + 快速端口复用，必须同步强化系统底座：
- 增大连接队列：
net.core.somaxconn=65535（防 SYN 包丢弃） - 启用 TIME-WAIT 复用：
net.ipv4.tcp_tw_reuse=1（加速端口回收） - 放宽本地端口范围：
net.ipv4.ip_local_port_range="1024 65535"（提升瞬时连接数） - 扩大文件句柄上限：
fs.file-max=1000000（匹配 socket 和日志需求） - 扩容连接跟踪表：
net.netfilter.nf_conntrack_max=655360（避免 NAT 表溢出丢包）
这些写入 /etc/sysctl.conf 后执行 sysctl -p 生效。
容器资源必须硬限制，不能靠“自觉”
一个失控的容器就能拖垮整台宿主机。关键限制项要明确设死：
- CPU：用
--cpus=2.5或--cpuset-cpus=0,2绑定核心，减少上下文切换 - 内存：用
-m 2g --memory-swap=2g防 OOM，Java 类应用建议再加-e JAVA_OPTS="-Xmx1800m"双保险 - 进程数：用
--pids-limit=200控制 fork 型服务的连接上限 - 带宽（bridge/macvlan 支持）：
--network-bandwidth=10mbps防止单容器吃满物理网卡
访问链路越短，稳定性越高
用户请求到容器之间的跳转层级，直接决定延迟和故障面：
- 避免 Nginx → bridge → 容器 的三层转发，改为 Nginx 直接反代 host 模式容器，或用 macvlan 让容器 IP 直接暴露给 LVS/SLB
- 宿主机内部访问容器，Linux 下走
172.17.0.1，Mac/Win 下用host.docker.internal，别依赖 DNS 解析 - 关键服务（如支付、订单）单独配 macvlan 网络，与其他业务物理隔离，防 ARP 风暴和广播干扰
