跨主机Docker网络因物理防火墙丢包导致重连失败，本质是VXLAN封装流量（UDP 4789）被静默拦截或分片丢弃，表现为连接超时、间歇断连、TLS握手失败；排查需聚焦物理链路层到内核转发层，关键步骤包括：抓包确认4789端口双向通断、放行4789/2377/7946端口及UDP分片、设overlay MTU为1450规避分片、关闭rp_filter防止解封装包被丢弃，并适配云平台特殊要求。
跨主机 Docker 网络通信因物理防火墙丢包导致重连失败，本质是 VXLAN 封装流量在传输路径中被静默拦截或分片丢弃。这类问题不报错、无日志，仅表现为连接超时、间歇性断连或 TLS 握手失败，排查需聚焦“物理链路层到内核转发层”的完整通路。
确认物理防火墙是否拦截 VXLAN 流量
VXLAN 默认使用 UDP 端口 4789（RFC 7348），但部分企业级防火墙或云平台安全组会默认拒绝未知 UDP 流量，尤其对大包或非标准端口敏感：
- 在宿主机执行
tcpdump -i any udp port 4789 -w vxlan.pcap，同时从另一节点发起容器间请求 - 若抓包显示本机发出 UDP 包但无回包，且目标节点收不到该包，则问题在中间物理防火墙
- 注意：某些防火墙对 UDP 无状态连接超时极短（如 30 秒），会导致长连接重传失败
检查并放行关键端口与协议
物理防火墙需显式允许以下三项，缺一不可：
- UDP 4789 端口（VXLAN 数据面）
- TCP/UDP 2377 端口（Swarm control plane）
- TCP/UDP 7946 端口（gossip 协议节点发现）
- 若启用加密 overlay，还需允许 UDP 分片通过（部分防火墙默认丢弃 IP 分片）
规避 MTU 不匹配引发的隐性丢包
物理网卡 MTU（常见 1500）与 VXLAN 封装后实际载荷不匹配时，IP 层自动分片；而多数物理防火墙默认丢弃分片包：
- 查看宿主机网卡 MTU：
ip link show eth0 | grep mtu - 查看 overlay 网络实际 MTU：
docker network inspect mynet --format='{{.Options}}' - 创建网络时强制指定兼容 MTU（建议比物理 MTU 小 50）：
docker network create -d overlay \ --opt com.docker.network.driver.mtu=1450 \ --attachable mynet
- 若已存在网络，需删除重建（overlay 网络 MTU 不支持运行时修改）
验证反向路径过滤（rp_filter）是否触发丢包
Linux 内核 rp_filter 在严格模式下会校验入向包源 IP 是否可达，而 VXLAN 解封装后的容器 IP 可能被判定为“不可达”并丢弃：
- 检查当前设置：
sysctl net.ipv4.conf.all.rp_filter - 临时关闭（所有接口）：
sudo sysctl -w net.ipv4.conf.all.rp_filter=0 - 永久生效：在
/etc/sysctl.conf中添加net.ipv4.conf.all.rp_filter = 0
补充：云环境特殊处理项
- 阿里云/腾讯云安全组需额外放行 VXLAN 多播地址
224.0.0.1（用于 control plane 心跳） - AWS Security Group 必须开启 “Source/Destination Check = disabled”（适用于自建 overlay 节点）
- VMware NSX 或 Cisco ACI 环境中，需确认 VXLAN VNI 映射策略未冲突
不复杂但容易忽略
