Docker容器网络性能调优有五种方法：一、用host模式替代bridge以降低开销；二、通过--sysctl调整TCP参数提升并发能力；三、禁用iptables减少转发延迟；四、启用多队列网卡并绑定CPU核心；五、替换为Cilium等高性能CNI插件。
如果您在运行 Linux Docker 容器时遇到网络延迟高、吞吐量低或连接不稳定等问题，则可能是由于默认网络配置未适配实际工作负载。以下是针对 Docker 容器网络性能进行调优的多种方法：
一、使用 host 网络模式替代 bridge 模式
host 网络模式使容器直接共享宿主机的网络命名空间，绕过 Docker 的虚拟网桥（docker 0）及 iptables NAT 规则，从而降低网络栈开销并提升吞吐能力。
1、停止当前正在运行的目标容器。
2、使用
--network=host
参数重新运行容器，例如：
docker run --network=host -d nginx。
3、确认容器内进程绑定地址为
0.0.0.0
或具体宿主机 IP，而非仅监听 127.0.0.1。
二、调整容器内 TCP 参数
容器默认继承宿主机的 sysctl 设置，但部分内核参数（如 net.core.somaxconn、net.ipv4.tcp_tw_reuse）对高并发短连接场景影响显著，需在容器启动时显式配置。
1、创建自定义 sysctl 配置文件，例如/etc/docker/daemon.json
中添加：
{"default-runtime": "runc", "default-ulimits": {"nofile": {"Name": "nofile", "Hard": 65536, "Soft": 65536}}}。
2、启动容器时通过
--sysctl
参数覆盖关键参数，例如：
docker run --sysctl net.core.somaxconn=65535 --sysctl net.ipv4.tcp_tw_reuse=1 -d nginx。
3、进入容器验证设置是否生效：
sysctl net.core.somaxconn和sysctl net.ipv4.tcp_tw_reuse。
三、禁用 iptables 规则以减少转发延迟
Docker 默认在宿主机上插入大量 iptables 规则用于端口映射和网络隔离，高频小包场景下会引入可观测的匹配延迟；关闭该机制可缩短数据包路径。
1、编辑
/etc/docker/daemon.json
，添加键值对：
"iptables": false。
Docker Sandbox创建并管理 Docker 沙箱虚拟机环境以安全执行代理。适用于运行不受信任代码、探索包或隔离代理工作负载。支持 Claude、Codex、Copilot、Gemini 和 Kiro 代理，并提供网络代理控制。
下载2、重启 Docker 服务：systemctl restart docker。
3、确保业务已通过其他方式（如宿主机防火墙或云平台安全组）完成访问控制，否则将导致容器端口暴露无防护。
四、启用多队列网卡并绑定容器网络命名空间
现代物理网卡支持多接收队列（RSS），若容器网络命名空间能绑定到特定 CPU 核心并启用对应队列，可避免单核软中断瓶颈，提升吞吐与并发处理能力。
1、确认宿主机网卡支持多队列：
ethtool -l eth0查看 Combined 值。
2、启用指定数量队列：
ethtool -L eth0 combined 8（假设 CPU 有 8 个可用核心）。
3、使用
--cpuset-cpus启动容器，并配合taskset将容器内网络相关进程绑定至对应 CPU 核心。
五、替换默认 CNI 插件为性能更优方案
Docker 默认 bridge 驱动在大规模容器部署中存在性能局限；采用 eBPF 加速的 CNI 插件（如 Cilium）或轻量级 userspace 实现（如 Netavark）可显著降低网络延迟与资源占用。
1、卸载原有 Docker 网络驱动依赖：apt remove docker.io（Debian/Ubuntu）或对应包管理命令。
2、安装支持 eBPF 的运行时环境，例如：apt installlinux-headers-$(uname -r) bpftool。
3、部署 Cilium 并配置其作为默认 CNI：cilium install && cilium status，确认KubeProxyReplacement: Strict已启用。