📚 课程目录第2章 Docker网络基础

2、Docker网络基础：Docker网络模式（bridge/host/overlay）对连接池的影响，容器间通信原理

在容器化架构中，网络模式直接决定了容器如何获取IP地址、如何与宿主机及其他容器通信，进而影响连接池的建立效率、复用策略与水位上限。本章从连接池巡检视角出发，深入分析三种核心网络模式（bridge、host、overlay）的底层通信原理及其对连接池行为的差异化影响。

2.1 三种网络模式的核心差异

特性	bridge（默认）	host	overlay
网络隔离	容器间通过虚拟网桥隔离，默认只能通过IP通信	容器共享宿主机网络栈，无隔离	跨主机容器通过VXLAN隧道通信，逻辑隔离
IP分配	每个容器获得独立的私有IP（172.17.0.0/16）	容器直接使用宿主机IP	每个容器获得overlay网络内的虚拟IP
端口映射	需要 -p 参数将容器端口映射到宿主机	容器端口自动暴露在宿主机上	通过ingress或docker-proxy暴露
连接池影响	需经过NAT和iptables规则，增加连接建立延迟	零网络开销，连接池复用效率最高	VXLAN封装增加MTU开销，长连接更稳定
典型场景	单机多容器微服务	高性能网络应用（如Redis、Nginx）	跨主机容器编排（Swarm/K8s）

连接池巡检提示： bridge模式下，每个新建连接都要经过DNAT和iptables conntrack表查询，当连接池水位较高（>1000个连接）时，conntrack表冲突概率上升，建议监控 /proc/net/nf_conntrack 中的条目数。

2.2 bridge模式：NAT与连接池的瓶颈点

bridge模式是Docker默认网络模式。Docker daemon启动时会创建docker0虚拟网桥，每个容器通过veth pair接入该网桥。容器间通信依赖IP转发，容器与外部通信则通过iptables MASQUERADE规则进行源地址转换。

通信路径（容器A → 外部服务）：

容器A eth0 → veth → docker0 → 宿主机路由 → iptables POSTROUTING（SNAT） → 物理网卡 → 外部

连接池在此模式下的关键瓶颈：

conntrack表溢出： 每个连接都会在宿主机conntrack表中创建条目，当连接池频繁创建/销毁连接时，conntrack表可能溢出，导致丢包。
端口耗尽： SNAT使用宿主机临时端口（默认32768-60999），连接池水位过高时端口耗尽，新连接被拒绝。
延迟增加： 每个连接需经过两次iptables规则匹配（PREROUTING + FORWARD），增加约0.1-0.5ms延迟。

2.3 host模式：零开销但牺牲隔离性

host模式下，容器直接使用宿主机网络命名空间，不经过虚拟网桥和NAT。容器内的应用监听端口直接暴露在宿主机IP上，网络性能接近原生。

连接池风险： host模式下，容器与宿主机共享端口空间。如果连接池使用大量临时端口（如HTTP客户端连接池），可能与宿主机上其他进程发生端口冲突。建议在host模式下使用Unix Socket或固定端口范围。

host模式对连接池的正面影响：

零NAT开销： 连接建立时间减少约30-50%，连接池复用效率最高。
无conntrack瓶颈： 不经过iptables，conntrack表不会成为连接池水位瓶颈。
MTU无损耗： 无VXLAN或veth封装，最大传输单元保持1500字节。

2.4 overlay模式：跨主机通信与VXLAN封装

overlay模式用于跨主机容器通信，通过VXLAN隧道在宿主机之间建立二层网络。每个overlay网络有一个独立的虚拟子网，容器通过VXLAN隧道封装后的UDP包（端口4789）进行通信。

overlay通信路径（宿主机A容器 → 宿主机B容器）：

容器A → veth → docker_gwbridge → VXLAN隧道 → 宿主机B物理网卡 → docker_gwbridge → veth → 容器B

连接池在overlay模式下的关键考量：

因素	影响	巡检建议
MTU缩减	VXLAN封装增加50字节头部，有效MTU降至1450	监控TCP分段率，避免因MTU导致连接池重传
UDP封装	VXLAN使用UDP 4789，需确保防火墙不拦截	检查UDP连接跟踪表，防止UDP conntrack溢出
跨主机延迟	增加1-3ms隧道封装延迟	连接池空闲连接超时时间应适当放宽
ingress网络	Swarm模式下ingress负载均衡增加额外跳数	避免连接池频繁重建，使用长连接模式

2.5 容器间通信原理与连接池建立流程

无论使用哪种网络模式，容器间通信都遵循以下通用流程：

DNS解析： Docker内置DNS（127.0.0.11）将容器名解析为IP地址。在overlay网络中，DNS由Swarm或K8s的DNS服务提供。
路由决策： 根据目标IP判断是否在同一网络、同一宿主机或跨宿主机。
网络栈处理： 经过veth、网桥、iptables（bridge模式）或VXLAN隧道（overlay模式）到达目标容器。
连接池建立： 客户端容器向目标容器发起TCP连接，连接池管理器记录连接元组（源IP、源端口、目标IP、目标端口）。

连接池水位巡检命令：

# 查看容器内连接池状态（以MySQL连接池为例）
docker exec <container_id> ss -tan | grep ESTAB | wc -l

# 查看宿主机conntrack表大小（bridge模式关键指标）
cat /proc/sys/net/netfilter/nf_conntrack_count

# 查看overlay网络VXLAN隧道状态
docker network inspect <overlay_network_name> | jq '.[].Containers'

# 查看host模式端口占用
ss -tlnp | grep <container_port>

2.6 网络模式选择对连接池配置的指导

网络模式	连接池最大连接数建议	空闲超时建议	关键监控指标
bridge	≤ 5000（受conntrack和端口限制）	60-120秒	nf_conntrack_count、临时端口使用率
host	≤ 20000（受宿主机端口和进程限制）	30-60秒	宿主机端口占用、文件描述符数
overlay	≤ 3000（受VXLAN封装和UDP conntrack限制）	120-300秒	UDP conntrack表、MTU分段率

避坑指南： 在overlay网络中使用连接池时，务必设置 tcp_keepalive_time 和 tcp_keepalive_intvl 参数，因为VXLAN隧道可能因中间设备超时而静默断开连接，导致连接池中的连接变成“僵尸连接”。建议在容器启动时添加：

docker run --sysctl net.ipv4.tcp_keepalive_time=60 \
           --sysctl net.ipv4.tcp_keepalive_intvl=10 \
           --sysctl net.ipv4.tcp_keepalive_probes=3 \
           --network overlay_network ...