Docker容器网络模式详解与生产环境排错实践

在容器化落地过程中，网络问题往往是排查难度最高的一类。本文结合生产环境中的真实案例，梳理Docker四种网络模式的工作原理，并给出对应的排错思路。

一、bridge模式（默认）：Docker在宿主机上创建docker0网桥，容器通过veth pair接入网桥，由iptables的MASQUERADE规则实现出站SNAT，入站访问通过DNAT映射到容器端口。适用于单机部署与开发测试场景。

二、host模式：容器直接复用宿主机网络栈，没有网络隔离，但性能最好、无NAT转换损耗。适合对网络吞吐敏感的高性能服务，端口冲突需自行管理。

三、container模式：新容器与已有容器共享Network Namespace，典型用法是sidecar边车模式，日志采集、流量代理等辅助进程与主容器通过localhost通信。

四、none模式：只创建独立的Network Namespace，不做任何配置，适合完全自定义网络的场景，例如配合macvlan或自建CNI插件。

生产排错案例：某业务容器端口映射后偶发超时。第一步docker inspect确认端口映射与IP；第二步容器内curl网关与外部地址，定位入站还是出站问题；第三步iptables -t nat -L -n检查DNAT规则是否被自定义链覆盖；最终定位到firewalld reload导致Docker动态规则丢失，重启docker服务并固化firewalld与Docker的启停顺序后恢复。

小结：理解veth、网桥与iptables三者的协作关系，是容器网络排错的基本功。建议生产环境统一网络方案、固化防火墙规则管理流程，并开启live-restore避免重启影响业务。