关键在于启用host网络模式、精细设置MTU、调优TCP内核参数并谨慎禁用iptables；host模式绕过docker0和NAT，MTU适配云环境避免分片，--sysctl注入somaxconn、tcp_tw_reuse等参数提升并发，iptables关闭需以安全组兜底。
要让 Docker 容器支撑高吞吐通信，关键不是堆硬件，而是精准调整网络路径上的几个核心参数。默认配置面向通用场景，对持续大流量、低延迟、高并发的业务（如 GitLab CI 流水线、实时日志转发、微服务间高频 RPC）往往成为瓶颈。调优重点在减少路径开销、避免分片、提升连接处理能力，而非盲目换驱动。
优先启用 host 网络模式
这是最直接有效的吞吐量提升手段。它绕过 docker0 网桥、iptables NAT 规则和额外的网络命名空间隔离层，使容器进程直接使用宿主机协议栈。
- 启动命令示例：docker run --network host -d your-app
- 适用场景：单机部署、对隔离性要求不高但对吞吐/延迟敏感的服务（如 Nginx 反向代理、Prometheus Pushgateway、消息队列消费者）
- 注意：容器内需监听 0.0.0.0 或宿主机具体 IP，不能只绑 127.0.0.1；端口冲突需由应用层协调
精细设置 MTU 避免分片
MTU 不匹配是云环境吞吐下降的隐形杀手。物理网卡 MTU 为 1500，但叠加 VXLAN、VLAN 或云平台封装后，实际可用值常为 1450 或 1400。若容器发包超过此值，会被分片或丢弃，重传大幅拖慢大文件传输与长连接。
- 查当前值：ip link show eth0 | grep mtu（宿主机）、docker network inspect bridge | grep mtu
- 创建自定义网络时指定：docker network create --driver bridge --mtu 1450 my-highperf-net
- 验证：进容器执行 ping -M do -s 1422 target-ip（1422 + 28 字节头 = 1450），无“Packet too big”即生效
调优 TCP 内核参数提升并发能力
默认 TCP 参数针对交互式小流量设计，高吞吐场景下易出现连接排队、TIME_WAIT 积压、窗口增长缓慢等问题。
- 容器启动时注入关键参数：docker run --sysctl net.core.somaxconn=65535 --sysctl net.ipv4.tcp_tw_reuse=1 --sysctl net.ipv4.tcp_window_scaling=1 -d your-app
- 核心作用：somaxconn 提升连接请求队列长度；tcp_tw_reuse 允许快速复用处于 TIME_WAIT 的端口；tcp_window_scaling 支持大于 64KB 的接收窗口，适应高速网络
- 若需全局生效，可将参数写入 /etc/docker/daemon.json 的 default-runtime 配置中
禁用 iptables（谨慎使用）
Docker 默认插入大量 iptables 规则用于端口映射和网络策略。在纯 host 模式或已通过云安全组/主机防火墙管控访问的场景下，这些规则纯属冗余开销，尤其影响小包转发性能。
- 编辑 /etc/docker/daemon.json，添加："iptables": false
- 重启 Docker：sudo systemctl restart docker
- 前提：必须确保业务访问控制已由其他机制（如云平台安全组、主机 firewalld）兜底，否则会暴露端口
