Docker 网络性能优化与实践指南

一、 选择最佳的网络模式（Network Drivers）

不同的 Docker 网络模式在数据包处理路径上有巨大的性能差异。优化网络的第一步是根据业务场景选择合适的驱动。

推荐实践：

1. 追求极限性能与极低延迟：直接使用 --net=host，容器共享宿主机的网络栈，避开 veth pair 和 bridge 的 NAT/iptables 转发表查表损耗。

2. 需要独立 IP 并直连物理网卡：使用 macvlan 或 ipvlan（ipvlan L2/L3 性能优于 macvlan，对 MAC 地址数量有限制的云环境更友好）。

二、 宿主机 Linux 系统与网络栈内核调优

Docker 容器的网络性能高度依赖宿主机 Linux 内核。建议在宿主机的 /etc/sysctl.conf 中追加以下优化参数：

1. TCP 拥塞控制算法 (BBR)

启用 BBR 拥塞控制算法替代默认的 Cubic，显著提升高延迟/丢包网络环境下的吞吐量与连接响应速度：

net.core.default_qdisc = fq
net.ipv4.tcp_congestion_control = bbr

2. Socket 缓冲区与连接队列

提高最大连接数限制与 Socket 读写缓冲区，防止在高并发连接冲击时丢包：

# 单个 Socket 连接的读写缓冲区最大值与默认值
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216

# Listen 队列最大积压数
net.core.somaxconn = 65535
net.ipv4.tcp_max_syn_backlog = 65535

# 允许回收和快速重用 TIME_WAIT 状态的套接字
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15

# 本地随机端口范围（扩容可用端口数）
net.ipv4.ip_local_port_range = 1024 65535

执行 sysctl -p 使配置生效。

三、 Docker Bridge 网络专项优化

如果业务必须运行在 bridge 模式下，可通过以下方式降低开销：

1. MTU (最大传输单元) 对齐

如果宿主机网络接口（或 Overlay 虚拟网络）使用非标准 MTU（如云服务商的 1450/1400，或启用了 Jumbo Frames 的 9000），需要显式指定 Docker 的 MTU。如果 MTU 不匹配，会导致数据包分片，极大降低性能。

在 /etc/docker/daemon.json 中配置全局默认 MTU：

{
  "mtu": 1450
}

或创建网络时单独指定：

docker network create --driver bridge -o "com.docker.network.driver.mtu"="1450" my_optimized_net

2. 避免使用 Docker 默认 bridge，使用“自定义桥接网络”

• 默认的 bridge 网络依赖遗留的 --link 机制，DNS 解析效率低。

• 自定义 bridge 网络使用内置的 DNS 服务（127.0.0.11），支持基于容器名的动态解析，并发性能和可靠性更好。

3. 关闭不必要的 userland-proxy

• 默认情况下，Docker 映射端口时会启动 docker-proxy 进程进行用户态流量转发。对于高并发场景，docker-proxy 会消耗大量 CPU 和内存资源。

• 在 /etc/docker/daemon.json 中关闭它，完全交由 Linux 内核 iptables/IPVS 处理：

  JSON

  {
    "userland-proxy": false
  }
  

四、 DNS 解析速度优化

在微服务场景下，频繁的 DNS 解析可能成为延迟的主要来源。

1. 禁用 IPv6 查找（若不使用 IPv6）： Linux 的 glibc 默认会同时发起 A 记录与 AAAA 记录（IPv6）请求，若网络不支持 IPv6 易导致响应超时。

2. 容器内配置 DNS 缓存与超时： 在容器的 /etc/resolv.conf 或 Compose 中添加 options 参数：

   YAML

   dns_opt:
     - "timeout:2"
     - "attempts:2"
     - "single-request-reopen"
   

3. 部署本地 DNS 缓存服务： 在宿主机或容器集群中部署 CoreDNS / Unbound / MosDNS 服务，将 Docker 的 DNS 指向本地缓存节点，减少跨网段 DNS 查询耗时。

五、 网卡与网卡多队列（RPS/RFS）调优

在万兆（10GbE）及以上网卡环境或高并发虚拟化环境中：

1. 开启网卡多队列（RSS / RPS / RFS）： 将网络中断均匀分散到宿主机的多个 CPU 核心上，避免单 CPU 核心软中断（si）100% 成为瓶颈。

   Bash

   # 查看当前网卡队列数
   ethtool -l eth0
   

2. 开启网卡硬件卸载功能（Offloading）： 确保 TSO (TCP Segmentation Offload)、GSO (Generic Segmentation Offload) 等开启，减轻 CPU 负担：

   Bash

   ethtool -K eth0 tso on gso on gro on
   

六、 总结与排查步骤

优化验证工具

1. 基准性能测试：使用 iperf3 在容器与宿主机/异地节点间测试带宽与延迟：

   Bash

   # 服务端
   docker run --rm -it --net=host networkstatic/iperf3 -s
   # 客户端
   docker run --rm -it --net=host networkstatic/iperf3 -c <SERVER_IP>
   

2. 网络延迟诊断：使用 mtr / traceroute 分析网络丢包与跳数。

3. 连接与软中断监控：

   Bash

   # 查看网卡软中断分布
   cat /proc/interrupts
   # 查看 Socket 状态分布
   ss -s