Docker Host模式下容器共享宿主机网络命名空间，监控需转向宿主机原生工具（如ss、lsof）、eBPF进程级追踪及进程标签识别，避开cAdvisor等容器抽象层失效问题。
Docker 主机网络模式（--network host）下，容器直接共享宿主机的网络命名空间，不经过 Docker 的 docker0 网桥，因此传统基于 bridge 网络的监控手段（如 cAdvisor 抓取 veth 统计、iptables 链路标记）会失效或覆盖不全。要有效监控 host 模式容器，关键在于绕过容器网络抽象层，聚焦宿主机视角的进程级与端口级观测。
直接监控宿主机网络状态，定位 host 模式容器行为
host 模式容器没有独立网络栈，它的监听端口、连接关系、流量都等同于宿主机上的一个普通进程。所以不能依赖 docker stats 或 cAdvisor 的容器维度指标（它们对 host 模式支持弱或不区分归属），而应转向操作系统原生能力：
- 使用
ss -tulnp或netstat -tulnp查看所有监听端口及对应 PID，再通过ps -p <PID> -o comm=反查进程名，确认是否为某个 host 模式的容器进程 - 用
lsof -i -P -n结合容器启动命令（如docker run --network host nginx）识别其主进程（通常是 nginx master 进程） - 对关键端口（如 8080、3306）做持续轮询：
watch -n 1 'ss -tn src :8080 | wc -l'，统计并发连接数变化
用 eBPF 工具实现无侵入、进程粒度的流量追踪
由于 host 模式容器流量完全走宿主机协议栈，eBPF 是最适配的监控方式——它不依赖网络命名空间隔离，可直接 hook 到 socket、TCP state、kprobe 等层级：
- 部署
bpftrace或pixie，运行脚本捕获指定 PID 的 HTTP 请求（需容器启用-v /proc:/host/proc:ro挂载）：# 跟踪某进程（如 PID 1234）的出向 HTTP 请求路径 bpftrace -e 'kprobe:tcp_connect /pid == 1234/ { printf("connect to %s:%d\n", str(args->uaddr->sa_data), args->uaddr->sa_data[2] * 256 + args->uaddr->sa_data[3]); }' - 使用
ebpf-exporter暴露process_net_*指标，Prometheus 可按pid、comm（进程名）标签聚合，区分不同 host 模式容器的流量
借助进程标签 + 日志结构化补全可观测性
host 模式容器无法被 Docker DNS 解析，也不产生独立网络指标，但可通过启动时注入标识，让日志和监控系统“认出它”：
- 启动时添加环境变量或 labels（虽不改变网络行为，但便于后续归类）：
docker run -d --network host --env SERVICE_NAME=api-gateway --label service=api-gateway nginx
- 应用日志强制输出 JSON，并包含
service_name、host_ip、pid字段；用 Fluent Bit 提取pid，关联/proc/<pid>/cmdline内容，自动打标来源容器 - Prometheus Node Exporter 的
processescollector 可配合process exporter，按comm和environ过滤，把 nginx 进程识别为api-gateway实例
补充轻量级专用工具，快速验证连接健康
对运维排查场景，无需部署整套栈，可用小工具直击要害：
-
check-docker-connection仍适用，但需注意：它通过nsenter进入容器命名空间，而 host 模式下该命名空间即宿主机，所以结果反映的是全局连接状态。建议配合-c指定容器名后，再用docker inspect <name>提取Pid，交叉验证：PID=$(docker inspect -f '{{.State.Pid}}' my-api) ss -tnp | grep "pid:$PID" -
vnStat可监控宿主机整体网卡流量（如eth0），结合docker stats --no-stream中 host 模式容器的NET I/O显示为0 B / 0 B的特性，反向推断：若某容器 CPU 高但 NET I/O 为 0，极可能运行在 host 模式，此时重点查宿主机网卡负载
不复杂但容易忽略
