关键是从守护进程层统一控制连接复用：配置稳定DNS、禁用冗余iptables、调优TCP保活参数、限制容器并发连接数。需修改daemon.json和sysctl.conf，配合host/macvlan网络及应用层连接池。
要减少 Docker 容器网络连接中的 TLS/HTTP 握手频率，关键不是在容器内反复调优，而是从守护进程层统一控制连接复用行为——重点落在 DNS 解析稳定性、客户端连接池继承机制、以及避免因网络栈冗余导致的连接中断重试。
启用 DNS 缓存并指定稳定解析源
DNS 解析失败或延迟会直接触发连接重建，掩盖本可复用的连接。Docker 默认继承宿主机 resolv.conf，但该文件常含不可靠的 ISP DNS 或超时配置。
- 在 /etc/docker/daemon.json 中显式设置低延迟、高可用 DNS：
{"dns": ["1.1.1.1", "8.8.8.8"], "dns-search": ["local"]}
- 若需更强缓存能力，可在宿主机部署
dnsmasq作为本地 DNS 代理（监听 127.0.0.1:53），再将 daemon.json 的 dns 指向它； - 避免使用
8.8.4.4等备用 DNS，因其响应策略可能引入不一致超时，破坏连接复用前提。
关闭 bridge 模式下不必要的 NAT 和 iptables 干预
Docker 默认 bridge 网络通过 iptables 实现端口映射和 SNAT，每次连接建立都需经过 netfilter 规则匹配。高频短连接场景下，规则遍历开销会间接导致连接提前关闭或无法复用。
- 在 daemon.json 中添加：
"iptables": false—— 仅适用于容器间通信走自定义桥接网络、且不依赖-p映射外部端口的场景； - 配合使用
--network=host或自定义macvlan网络，彻底绕过 docker0 网桥，使 TCP 连接生命周期更稳定，提升 keep-alive 复用率； - 注意：禁用 iptables 后，容器将无法使用
-p发布端口，需改用 host 模式或反向代理暴露服务。
调整守护进程级 TCP 参数支持长连接
容器默认继承宿主机 sysctl 值，但部分参数影响连接空闲保持与 TIME_WAIT 回收，决定连接能否被复用。
- 在 /etc/sysctl.conf 中设置（非 daemon.json）：
net.ipv4.tcp_keepalive_time = 600<br>net.ipv4.tcp_keepalive_intvl = 60<br>net.ipv4.tcp_keepalive_probes = 3<br>net.ipv4.tcp_fin_timeout = 30<br>net.ipv4.tcp_tw_reuse = 1
- 执行
sysctl -p生效； - 这些值让空闲连接在 10 分钟后发起保活探测，失败后 2 分钟内释放，同时允许 TIME_WAIT 状态套接字快速复用于新连接；
- 对 HTTP/2 或 gRPC 长连接服务尤其有效，显著降低 handshake 次数。
限制容器默认网络并发连接数，避免资源争抢导致复用失效
单个容器若不限制 socket 数量，可能耗尽宿主机 local port 范围（默认 32768–65535），引发 connect() 失败或强制新建连接。
- 在 daemon.json 中配置全局 ulimit：
"default-ulimits": {"nofile": {"Name": "nofile", "Hard": 65536, "Soft": 65536}}
- 同时建议应用层使用连接池（如 Go 的
http.Transport.MaxIdleConnsPerHost或 Java 的 Apache HttpClient Pool），与守护进程设置协同； - 避免容器内进程自行调大 limit 却未配额约束，造成局部端口耗尽而频繁重连。
