宿主机物理网卡网速异常导致容器网络阻塞，本质是底层网络吞吐能力下降，需通过ethtool、nethogs等工具定位网卡降速、驱动兼容性、队列丢包或conntrack溢出等问题，并针对性调优驱动、缓冲区、卸载功能及iptables规则。
宿主机物理网卡网速异常导致容器网络阻塞，本质是底层网络吞吐能力下降，容器流量被“卡在门口”。这不是 Docker 自身配置问题，而是宿主机网络基础设施出现瓶颈或异常。解决的关键在于快速定位网卡性能瓶颈，并排除硬件、驱动、系统级干扰因素。
确认网卡是否真的跑满或异常
别急着重启服务，先验证是不是网卡本身出了问题：
- 用 ethtool 查看网卡实时状态： `ethtool eth0`（把 eth0 换成你实际的物理网卡名） 关注 Speed（是否降速到 100Mbps 或更低）、Link detected（是否为 yes）、Auto-negotiation（是否开启且成功）
- 用 iftop 或 nethogs 实时观察哪个进程/连接占满带宽： `sudo nethogs -d 2` 可按进程维度显示实时流量，一眼看出是否有异常上传/下载行为
- 对比容器内和宿主机的外网测速： 在宿主机上运行 `curl -o /dev/null -s -w '%{speed_download}\n' http://speedtest.tele2.net/10MB.zip`； 再进一个容器执行同样命令（如 `docker run --rm alpine wget -O /dev/null http://speedtest.tele2.net/10MB.zip 2>&1 | grep 'speed'`）。若宿主机快而容器极慢，说明问题出在网卡与容器之间的路径（如桥接、iptables、队列）
检查网卡驱动与固件兼容性
很多“网速突降”其实是驱动 bug 或固件过旧引发的协商失败或中断风暴：
- 查当前驱动版本：`ethtool -i eth0 | grep driver`，再查该驱动在对应内核版本下的已知问题（尤其是 Mellanox、Intel X710、Broadcom 等常见企业网卡）
- 升级固件（firmware）：访问网卡厂商官网下载最新固件包，按说明刷写（注意需重启生效）
- 临时换驱动测试：比如 Intel 网卡可尝试从 igb 切换到 ixgbe（或反之），用 `modprobe -r igb && modprobe ixgbe` 测试是否恢复
排查内核网络栈与队列设置
物理网卡虽未满，但内核收发队列堆积也会造成容器响应延迟高、连接超时：
- 查看 RX/TX 队列丢包：`ethtool -S eth0 | grep -i "drop\|over\|err"`，重点关注 rx_missed_errors（接收缓冲区溢出）、tx_aborted_errors
- 增大 ring buffer 缓冲区（尤其对高吞吐场景）： `ethtool -G eth0 rx 4096 tx 4096`（数值根据网卡支持范围调整，通常 512~4096）
- 关闭可能干扰的卸载功能（如遇到 TCP 校验和错乱、分片异常）： `ethtool -K eth0 gso off tso off gro off lro off`
隔离 Docker 对网卡的影响
Docker 的 iptables 规则、网桥转发、conntrack 表膨胀，都可能在网卡弱负载下放大延迟：
- 检查 conntrack 表是否爆满：`conntrack -L | wc -l`，超过 65536（默认上限）就容易丢包；临时扩容：`echo 131072 > /proc/sys/net/netfilter/nf_conntrack_max`
- 确认 docker0 网桥无广播风暴：用 `tcpdump -i docker0 -c 100` 抓包，看是否有异常 ARP 泛洪或重复 ICMP
- 禁用 Docker 自动添加的 iptables 规则（仅测试用）：`systemctl stop docker && iptables -t nat -F DOCKER && iptables -F DOCKER`，再启动容器观察是否改善——若明显好转，说明某条 NAT 规则或 FORWARD 链策略有冲突
