Linux容器网络性能优化关键在于识别并削减veth、netns、docker0桥、iptables等虚拟环节带来的上下文切换与内存拷贝；优先采用host模式或macvlan直连物理网络，辅以禁用iptables改用eBPF、调优TCP参数及启用XDP/GRO等硬件协同加速。
Linux 下优化容器网络性能，关键不是堆参数，而是看清数据包实际走了哪些虚拟环节，再针对性砍掉冗余路径。默认 bridge 模式下，一个包要过 veth、netns 切换、docker0 软桥、iptables 遍历，每一步都带上下文切换和内存拷贝。优化方向很明确：能绕就绕，绕不了就调。
优先用 host 模式或 macvlan 直连物理网络
这是见效最快的方式，直接跳过整个虚拟网络栈。
-
host 模式：容器共享宿主机 netns，veth、bridge、iptables 全部消失。适合监控 agent、日志采集器这类不需网络隔离的服务。启动时加
--network=host，注意容器内服务要监听0.0.0.0而非127.0.0.1； - macvlan/ipvlan：让容器网卡“贴”在物理网卡上，MAC 地址独立，流量由物理交换机转发。不走 bridge，也不依赖 docker0。需确保物理网络支持二层互通，跨主机通信要配合 BGP（如 Calico）或 overlay 辅助；
- 慎用 overlay 网络：虽支持跨主机，但封装解封装（VXLAN/Geneve）带来额外 CPU 和延迟开销，仅当必须跨节点且无法用 BGP 或 host 网络时才考虑。
禁用 iptables，改用 eBPF 或应用层控制
Docker 默认插入大量空规则链，哪怕没配置策略，netfilter hook 仍被触发，每个包多走一遍遍历逻辑。
- 在
/etc/docker/daemon.json中设"iptables": false，然后重启 docker； - 防火墙功能交给更轻量的方案：Cilium 用 eBPF 实现策略，零延迟匹配；或把访问控制下沉到 service mesh 的 sidecar（如 Envoy），避免内核态干预；
- 若必须用 iptables，至少清理无用链，禁用 conntrack 对 UDP 等无状态协议的跟踪（
net.netfilter.nf_conntrack_udp_be_liberal = 1）。
调优残留组件与内核协议栈
即使绕过了大部分虚拟层，veth pair、bridge、TCP 栈仍存在，需精细调整。
-
veth 和 bridge：关闭 STP（
echo 0 > /sys/class/net/docker0/bridge/stp），增大 MAC 学习表（bridge fdb show | wc -l超万时调大bridge.ageing_time）； -
TCP 参数：容器启动时用
--sysctl设置关键值，例如net.core.somaxconn=65535（扩大连接队列）、net.ipv4.tcp_tw_reuse=1（复用 TIME-WAIT 连接）、net.ipv4.ip_local_port_range="1024 65535"（扩端口范围）； -
网卡多队列绑定：用
ethtool -L eth0 combined N开启 N 个 RSS 队列，再通过taskset或 cgroup 把容器进程绑到对应 CPU 核心，避免软中断集中在单核。
硬件协同与底层加速
最后一步是让网络栈贴近硬件，减少软件路径。
- XDP 加速：内核 ≥5.4 且网卡驱动支持（如 ixgbe、mlx5）时，可在驱动层编写 XDP 程序，对目标为容器 IP 的包直接重定向到对应 veth，跳过协议栈和桥接；
-
启用 GRO/LRO、TSO/GSO：用
ethtool -K eth0 gro on tso on gso on合并小包、分片大包，降低 per-packet 处理开销； -
NUMA 感知部署：将容器调度到靠近网卡所在 NUMA 节点的 CPU 上，减少跨节点内存访问延迟，可用
numactl --cpunodebind=0 --membind=0启动关键容器。
