高可用、可扩展的 docker 容器网络架构需按场景选网络模式、分层隔离流量并依托编排保障通信韧性：单机用自定义 bridge，跨主机必用加密 overlay，服务可多网接入实现最小权限通信，并通过健康检查、多副本与反向代理增强高可用。
设计高可用、可扩展的 Docker 容器网络架构，核心在于按场景选对网络模式、分层隔离服务流量、并利用编排能力保障通信韧性。不是堆功能，而是让网络适配业务拓扑和故障恢复逻辑。
按部署规模分层选择网络驱动
单机开发或测试环境优先用自定义 bridge 网络：它比默认 bridge 支持容器名解析、自定义子网和 IP 分配，避免端口冲突，也便于调试。
- 创建命令示例：
docker network create --driver bridge --subnet=172.20.0.0/16 my-app-net - 启动容器时显式指定网络，不依赖默认 docker0，避免命名空间混杂
- 多个服务共用一个 bridge 网络即可互通；若需逻辑隔离（如前端/后端/数据库），就拆成多个独立 bridge 网络
跨主机集群必须用 overlay 网络
只要服务实例分布在多台物理机或云节点上，就必须启用 overlay 网络——这是 Docker Swarm 原生支持跨主机二层通信的唯一内置方案。
- 前提：先初始化 Swarm 集群（
docker swarm init），再创建 overlay 网络 - 推荐开启加密：
docker network create -d overlay --opt encrypted my-secure-overlay，防止节点间流量被嗅探 - 服务部署时绑定该网络，Swarm 自动完成服务发现与 DNS 负载均衡，容器可通过服务名直接访问任意副本
用多网络组合实现精细化通信控制
一个服务可以同时接入多个网络，这是实现“最小权限通信”的关键手法。比如网关只连公网网络，业务服务连内网+中间件网络，数据库仅挂内网。
- Docker Compose 中通过
networks字段声明多个网络，每个服务按需加入 - 典型分网策略：public_net（暴露 HTTP/HTTPS）、backend_net（服务间调用）、internal_net（数据库、缓存等敏感组件）
- 这种结构天然阻断越权访问（如 order-service 无法直连 mysql-db），无需额外防火墙规则
高可用增强要点：健康检查 + 多副本 + 网络冗余
网络本身不提供高可用，但能支撑高可用机制落地。重点不在“网络多快”，而在“故障时是否自动绕过”。
- 所有服务启用健康检查（
healthcheck），Swarm 或反向代理据此剔除异常实例 - 关键服务至少部署 3 个副本，并分散在不同工作节点上，避免单机宕机导致全量不可用
- 对外入口建议前置 Nginx 或 Traefik，做 TLS 终止、路径路由和负载均衡；它不替代 overlay，而是补足其不具备的七层能力
