4. Docker 网络模型：Bridge、Host、Overlay 网络原理与性能对比

在 DAG 任务调度场景中，网络通信效率直接影响任务分发、数据 Shuffle 和结果回传的延迟。Docker 提供多种网络驱动，每种驱动在隔离性、吞吐量、延迟和跨主机通信能力上差异显著。本章深入剖析 Bridge、Host、Overlay 三种核心网络模型的原理，并通过性能对比帮助你在 Compose 编排中做出最优选择。

4.1 Bridge 网络：默认隔离与 NAT 转发

Bridge 是 Docker 默认的网络模式。Docker 守护进程在宿主机上创建一个虚拟网桥（通常名为 docker0），并为每个容器分配一个独立的 Network Namespace 和虚拟以太网接口（veth pair）。

• 原理：容器通过 veth 连接到网桥，网桥通过 iptables NAT 规则将容器内部 IP 映射到宿主机端口。容器间可通过 IP 直接通信，但外部访问必须经过端口映射。
• 隔离性：容器拥有独立的网络栈，默认无法与宿主机网络互通，安全性较高。
• 性能特征：引入 NAT 和网桥转发，存在微秒级延迟开销；吞吐量受限于宿主机内核网络栈处理能力。

4.2 Host 网络：零开销直通宿主机

Host 模式让容器直接共享宿主机的网络栈，不创建独立的 Network Namespace。容器内的进程直接使用宿主机 IP 和端口，无需 NAT 或网桥转发。

• 原理：容器绑定宿主机的网络接口，端口冲突由应用层自行管理。网络性能接近原生进程。
• 隔离性：最弱，容器与宿主机共享端口空间，存在端口抢占和安全隐患。
• 性能特征：零虚拟化开销，延迟最低，吞吐量最高。适合对网络延迟极度敏感的场景。

4.3 Overlay 网络：跨主机容器互联

Overlay 网络是 Docker Swarm 模式下的原生跨主机网络方案，通过 VXLAN 隧道技术将多个宿主机上的容器连接到一个逻辑二层网络中。

• 原理：每个宿主机上运行一个分布式数据存储（如 Consul、etcd）维护网络状态；容器发出的数据包被封装在 UDP 报文中，通过宿主机物理网络传输到目标节点后解封装。
• 隔离性：每个 Overlay 网络是一个独立的广播域，不同 Overlay 网络之间完全隔离。
• 性能特征：VXLAN 封装/解封装带来额外的 CPU 开销和延迟（通常增加 5%-15% 的延迟），吞吐量受限于宿主机 CPU 和物理网络带宽。

4.4 三种网络模型性能对比

以下表格从延迟、吞吐量、隔离性、跨主机支持和配置复杂度五个维度进行对比，数据基于典型 Linux 内核 5.x + Docker 20.10 环境实测。

4.5 网络模型架构对比图

下图展示了三种网络模型在单机与跨主机场景下的数据路径差异，帮助理解性能瓶颈的来源。

4.6 网络模式选择决策树

在 DAG 任务调度场景中，根据任务通信模式选择网络模式可显著提升整体吞吐量。以下决策树帮助你快速判断：

1. 所有任务在同一宿主机？
   • 是 → 使用 Bridge（默认隔离）或 Host（极致性能）
   • 否 → 进入下一步
2. 任务间通信频繁且数据量大？
   • 是 → 优先将任务调度到同一宿主机，使用 Bridge；无法避免跨主机时使用 Overlay 并启用 --opt com.docker.network.driver.mtu=1450 优化 MTU
   • 否 → 使用 Overlay 默认配置即可
3. 需要端口隔离或安全合规？
   • 是 → 避免使用 Host，优先 Bridge 或 Overlay
   • 否 → 可选用 Host 获得最低延迟

4.7 Compose 配置示例

以下代码展示如何在 docker-compose.yml 中显式指定网络模式，并创建自定义 Overlay 网络用于跨主机 DAG 调度。

version: '3.8'

services:
  scheduler:
    image: dag-scheduler:latest
    networks:
      - dag-net
    deploy:
      replicas: 1
      placement:
        constraints: [node.role == manager]

  worker:
    image: dag-worker:latest
    networks:
      - dag-net
    deploy:
      replicas: 3
      placement:
        constraints: [node.role == worker]

networks:
  dag-net:
    driver: overlay
    driver_opts:
      com.docker.network.driver.mtu: 1450
    attachable: true

4.8 性能优化最佳实践

• 减少 NAT 层级：在 Bridge 模式下，尽量使用自定义网络（docker network create --driver bridge）而非默认 docker0，因为自定义网络内置 DNS 解析且无需端口映射即可容器间通信。
• 启用 jumbo frames：在物理网络和 Overlay 网络中同时启用巨型帧（MTU 9000），可提升大块数据传输吞吐量约 15-20%。
• CPU 绑定与网络中断亲和性：在 Host 模式下，将容器进程绑定到特定 CPU 核心，并设置网络中断亲和性到同一核心，可降低缓存抖动和上下文切换开销。
• 避免 Overlay 加密：除非数据安全要求，否则关闭 --opt encrypted，因为 IPSec 加密会额外消耗 10-30% CPU 资源。