Docker跨物理机微服务互联首选Swarm Overlay网络：先初始化集群，再创建--attachable overlay网络，服务通过服务名DNS解析通信，配合多网络隔离与Ingress端口发布实现安全高效互联。
用Docker实现跨物理机微服务高速安全互联，关键不是堆砌功能，而是选对网络模型、配好基础环境、管住通信边界。核心路径是：基于Swarm的Overlay网络为主干，辅以合理服务发现与最小化暴露策略。
首选Overlay网络：Swarm集群内开箱即用
Overlay是Docker原生支持的跨主机二层虚拟网络，底层用VXLAN封装，自动加密传输，容器启动即获得集群内可路由IP，并支持通过服务名DNS解析——这是微服务调用最自然的方式。
- 所有节点需先初始化Swarm集群：在管理节点执行
docker swarm init --advertise-addr <本机IP>，其他节点用docker swarm join加入 - 创建可附加的overlay网络：
docker network create -d overlay --attachable my-microservices，加--attachable才能让非Swarm服务（如手动run的调试容器）加入 - 部署服务时指定该网络：
docker service create --network my-microservices --name api nginx，同网络下任意节点的api服务都能被其他节点的service_b直接用curl http://api:80访问
服务发现与通信控制：不靠IP，靠命名+网络隔离
Overlay网络自带DNS服务器，容器间默认可通过服务名互通。但生产中往往需要限制调用关系，避免越权访问。
- 用多个自定义网络划分逻辑域：比如前端只连
frontend网，后端服务连backend网，数据库仅接入db网，再通过API网关或sidecar桥接必要通路 - 避免使用
--link（已弃用）或硬编码IP；所有服务调用统一走服务名+端口，Docker DNS自动解析到当前可用实例 - 若需外部系统调用容器，优先用Swarm的Ingress网络+发布端口（
--publish 8080:80），而非开放容器真实IP
性能与安全兼顾的补充策略
Overlay虽安全，但VXLAN封装带来少量CPU开销。对延迟极度敏感的服务（如实时风控、高频交易），可局部优化：
- 关键服务改用
--network host模式运行，绕过Docker网络栈，直通宿主机网络——但必须确保该容器不暴露非必要端口，且与其他host网络容器做严格防火墙隔离 - 物理网络允许时，配置Macvlan网络：为容器分配真实局域网IP，外部设备可像访问物理机一样访问它，适合需要被传统监控或负载均衡器直连的组件
- 所有节点防火墙必须放行VXLAN端口（默认UDP 4789）、Swarm通信端口（TCP 2377）、以及节点间健康检查端口（TCP 7946），否则网络无法收敛
不推荐但需知晓的替代方案
Flannel、Calico等第三方插件能力更强（如细粒度NetworkPolicy），但引入额外运维复杂度，除非已有K8s生态或明确需要其策略引擎，否则对纯Docker Swarm场景属于过度设计。手动配置GRE隧道或静态路由更易出错，且无法自动处理容器漂移和DNS更新。
