当您启动 Docker 容器时，是否遇到过容器间无法互通、端口映射失效或性能瓶颈？这些问题的根源往往在于 Docker 容器的网络模式选择不当。Docker 容器网络模式决定了容器如何与宿主机、其他容器以及外部网络通信。本文将从实际部署中的常见问题出发，逐步解析五种核心网络模式（bridge、host、none、container、overlay）的原理、配置方法和选型要点，帮助您做出正确决策。
默认的 bridge 模式：隔离与端口映射
默认情况下，Docker 使用 bridge 网络模式。每个容器通过虚拟网卡连接到名为 docker0 的 Linux 网桥，容器之间可以互通，但外部默认无法直接访问容器，需要通过端口映射（-p）将容器端口暴露到宿主机。这种模式提供了良好的隔离性，适合单机多容器的场景。
配置 bridge 模式时，您可以使用 docker run --network bridge 显式指定，但默认即为此模式。若需自定义网段或网关，可创建自定义 bridge 网络：
docker network create --driver bridge --subnet 172.20.0.0/16 mynet
docker run --network mynet nginx
常见误区：许多用户误以为 bridge 模式下的容器可以直接通过容器 IP 从宿主机访问，但宿主机访问容器 IP 往往需要额外配置路由或使用桥接地址。实际上，推荐使用端口映射或加入自定义网络来确保连通性。
host 模式：共享宿主机网络栈
当容器需要极低网络延迟或大量端口时，host 模式将容器直接加入宿主机的网络命名空间，容器不再拥有独立 IP，而是直接使用宿主机 IP 和端口。这意味着无需端口映射，容器内的服务直接监听宿主机端口。
启动 host 模式容器：
docker run --network host nginx
此模式的优点在于性能极佳，但缺点是隔离性差，端口冲突风险高。例如，若宿主机已占用 80 端口，则容器无法使用该端口。host 模式适合对网络性能要求极高的场景（如高性能代理），但需谨慎评估安全影响。
none 模式：完全隔离
none 模式为容器提供完全的网络隔离，容器没有网络接口（除非手动配置）。这适用于需要极高安全性的场景，或运行无需网络的批处理任务。启动方式：
docker run --network none alpine
使用 none 模式时，容器无法访问外部网络，也无法被外部访问。若容器需要临时启用网络，可在运行后手动配置网络命名空间，但这通常复杂且容易出错，因此建议仅在明确需要隔离时使用。
container 模式：共享网络栈
container 模式允许容器共享另一个容器的网络命名空间，因此它们共享 IP 和端口。这在需要容器间通过 localhost 通信的场景（如调试代理）中非常有用。配置方法：
docker run -d --name app nginx
docker run --network container:app alpine
此时，第二个容器可以直接通过 localhost 访问第一个容器的服务。但注意，两个容器共享端口，且生命周期相互影响：若第一个容器停止，共享网络栈的容器也会失去网络连接。
overlay 模式：跨主机通信
当您需要跨多台宿主机部署容器时，overlay 网络模式是推荐方案。它基于 VXLAN 技术，在宿主机之间建立虚拟网络，使容器可以使用虚拟 IP 跨主机通信，而无需修改应用代码。配置 overlay 网络需要先初始化 Docker Swarm 或使用 etcd 等键值存储。
docker swarm init
docker network create -d overlay --attachable my-overlay
docker service create --network my-overlay --replicas 3 nginx
overlay 模式支持服务发现和负载均衡，但配置相对复杂，且网络性能受宿主机间链路影响。适用于微服务架构或多主机集群。
如何选择网络模式？
选择网络模式时，需权衡隔离性、性能、安全性和可管理性。以下为常见场景的推荐：
- 单机开发测试：bridge 模式足够，便于端口映射和调试。
- 性能敏感服务：host 模式可减少 NAT 开销，但注意端口冲突。
- 安全隔离：none 模式或自定义隔离网络。
- 容器间快速通信：container 模式或共享网络。
- 跨主机集群：overlay 网络结合 Swarm 或 Kubernetes。
此外，Docker 还支持自定义 bridge 网络，可提供内置 DNS 解析，便于容器间通过服务名互访，这是生产环境中的常用实践。
常见误区与故障排查
误区一：认为 bridge 模式容器可以直接用 IP 从宿主机访问。实际上，docker0 网桥的 IP 与容器 IP 不在同一子网，宿主机需配置路由或使用端口映射。
误区二：host 模式下容器端口与宿主机端口冲突时，Docker 不会报错，而是直接占用失败，导致服务无法启动。排查时请检查端口占用。
误区三：overlay 网络必须依赖 Swarm。其实，Docker 也支持使用外部键值存储（如 etcd）来启用 overlay，但 Swarm 是最便捷的方式。
排查网络问题时，可使用 docker network inspect 查看网络配置，docker exec 进入容器执行 ip addr 或 ping 测试连通性，并检查宿主机 iptables 规则。
参考资料
延伸阅读