Docker Host模式本质是容器与宿主机共享网络命名空间，不创建独立Network Namespace，直接复用宿主机IP、端口、路由表和iptables规则，跳过docker0网桥与NAT，性能最高但无网络隔离，易引发端口冲突。
学 Docker 主机网络模式（host 模式）的底层原理，关键不是背概念，而是抓住它“不隔离”的本质——容器直接复用宿主机的整个网络栈。
理解 host 模式的根本：没有网络命名空间隔离
Bridge 模式会给每个容器新建一个 Network Namespace，而 host 模式跳过了这一步。容器启动时，Docker 不创建新的网络命名空间，而是直接把容器进程放进宿主机的默认命名空间里。
- 容器里的
ip addr看到的网卡、IP、路由表，和宿主机ip addr输出完全一致 - 容器内监听
0.0.0.0:80，等同于宿主机在 80 端口监听，无需-p映射 - 没有 veth pair、没有 docker0 网桥、不走 iptables NAT 链（PREROUTING/POSTROUTING 基本不触发）
验证方式比看书更直观
用几条命令就能确认 host 模式是否生效：
- 启动容器：
docker run -d --network=host --name nginx-host nginx - 对比网络视图：
docker exec nginx-host ip addr和ip addr（宿主机）输出几乎一样 - 查端口占用：
netstat -tlnp | grep :80会显示 nginx 进程直接绑定在宿主机的 80 端口上 - 进容器执行
cat /proc/1/ns/net，它的 inode 号和宿主机cat /proc/self/ns/net相同，说明共享同一个网络命名空间
和 bridge 模式对比着看，原理就清楚了
host 模式省掉了 bridge 模式里最核心的三步：
- 不创建 Network Namespace → 没有网络环境隔离
- 不分配 veth pair → 容器没有独立虚拟网卡
- 不挂载到 docker0 → 完全绕过虚拟网桥和 iptables 规则
所以 host 模式性能开销最小，但也意味着容器和宿主机端口冲突风险高，无法多个容器同时监听同一端口。
适用场景决定你是否真需要它
host 模式不是“高级替代”，而是特定需求下的务实选择：
- 高性能网络服务（如负载均衡器、监控 agent），避免 NAT 和网桥转发延迟
- 需要访问宿主机 localhost 服务且不想记网关 IP 或配
host.docker.internal - 容器需使用特定网络功能（如 IPVS、AF_PACKET 套接字），这些在 Network Namespace 中受限
不复杂但容易忽略
