Macvlan是Linux内核提供的物理网卡直通技术，Docker和Kubernetes均可基于它实现零NAT、零veth的高性能网络；但Kubernetes必须通过CNI插件（如Multus+macvlan）配置，不可复用docker network create创建的macvlan网络，否则导致Service失效、Pod失联等问题。
在 Kubernetes 环境中，Docker 本身不直接提供“虚拟网卡透传”技术——真正能实现物理网卡直通、消除 NAT 和虚拟交换机开销的是 macvlan（属于 Linux 内核网络功能），而 Docker 和 Kubernetes 都可基于它构建高性能网络。但需明确：Kubernetes 默认不使用 Docker 的网络栈，而是依赖 CNI 插件；因此“利用 Docker 虚拟网卡透传”这个说法容易误导，实际路径是在 Kubernetes 中通过支持 macvlan 的 CNI 插件实现物理网卡透传，从而绕过 overlay 封装、veth pair 和 iptables/NAT，显著降低延迟与 CPU 开销。
为什么不能直接用 Docker 的 macvlan 网络？
Kubernetes Pod 网络由 CNI（Container Network Interface）统一管理，不读取或复用 docker network create 创建的 macvlan 网络。即使宿主机上运行了 docker network create --driver=macvlan，Kubernetes 的 kubelet 和 CNI 插件也不会感知或使用它。强行混用会导致：
- Pod IP 地址无法被 kube-proxy 或 Service 机制识别
- Service ClusterIP、NodePort、DNS 等核心功能失效
- 网络策略（NetworkPolicy）、指标采集、健康检查等依赖标准 CNI 行为的功能异常
正确做法：用 CNI 插件启用 macvlan 透传
主流方案是采用支持 macvlan 模式的 CNI 插件，如 multus-cni + macvlan（推荐用于多网络场景）或 static-ipam + macvlan（轻量单网络）。关键步骤如下：
- 确认物理网卡（如 eth0）处于 UP 状态，且未被 NetworkManager 或 cloud-init 占用；建议禁用 NetworkManager 对该接口的管控
- 准备 CNI 配置文件（例如 /etc/cni/net.d/10-macvlan.conf），指定 parent 接口、子网、网关及 IP 分配方式（host-local 或 static）
- 确保物理交换机允许该端口学习多个 MAC 地址（关闭 port security/sticky MAC）
- 为需要高性能网络的 Pod 添加 annotations，如 k8s.v1.cni.cncf.io/networks: 'macvlan-conf'，触发 Multus 绑定 macvlan 网络
典型配置要点与避坑提示
macvlan 在 Kubernetes 中不是开箱即用的功能，配置错误极易导致 Pod 失联或宿主机断网：
- 子网必须与物理网络一致：例如物理段是 192.168.10.0/24，则 CNI 配置中 "subnet": "192.168.10.0/24"，gateway 必须填真实网关（如 192.168.10.1），不可用 docker0 网段
- 宿主机不应再使用该网卡的主 IP：建议将宿主机管理 IP 绑定到另一张网卡（如 eth1）或 loopback，避免 ARP 冲突和流量劫持
- Pod 无法直连宿主机服务：因流量不经过宿主机协议栈，监听在 0.0.0.0 的服务对 macvlan Pod 不可见；解决方法是为宿主机额外配置一个 secondary IP（如 192.168.10.254），并让 Pod 访问该地址
- 云环境需手动开启 MAC 透传支持：AWS EC2、阿里云 ECS 等默认限制辅助网卡多 MAC，须在控制台启用“允许多个 IP”或“启用 MAC 地址透传”选项
替代方案：eBPF 加速的 CNI（如 Cilium）
若 macvlan 不适用（例如需要跨节点二层互通、或无法修改交换机策略），可考虑基于 eBPF 的 CNI 插件：
- Cilium 支持 direct routing 模式，跳过 VXLAN 封装，用 host routing + BPF 实现低开销转发
- 配合 XDP（eXpress Data Path），可在驱动层完成包过滤与负载均衡，进一步减少内核协议栈处理
- 保留完整的 Kubernetes 网络语义（Service、NetworkPolicy、可观测性），无需牺牲运维能力
