部署容器时，Docker 容器网络模式的选择往往直接决定服务的可用性、安全性和性能。不少用户遇到过“容器内能访问外网，但宿主机访问不了容器端口”或“跨主机容器无法通信”的问题，根源多半是网络模式配置不当。本文以问题为导向，逐一拆解 Docker 常见的五种网络模式（bridge、host、none、overlay、macvlan），给出判断过程、操作步骤和常见误区。
先明确需求：你希望容器如何通信？
在动手配置之前，先回答三个问题：
- 容器是否需要被宿主机外部访问？
- 容器之间是否需要通信？跨主机还是单机？
- 对网络性能和隔离性有什么要求？
不同答案指向不同模式。例如，单机部署 Web 服务，bridge 模式即可；若追求极致性能且不需要隔离，host 模式更合适；而跨主机集群则必须依赖 overlay 或 macvlan。下面逐一分析。
bridge 模式：默认选择，适合单机通信
Docker 默认创建的 bridge 网络（名为 bridge）会为每个容器分配独立的 IP，并通过 NAT 实现出网。宿主机通过端口映射（-p）将容器端口暴露到外部。
典型操作
docker run -d --name web -p 8080:80 nginx
这条命令将容器的 80 端口映射到宿主机的 8080，此时访问 宿主机IP:8080 即可到达容器。
判断要点
- 容器间可直接通过 IP 通信，但默认不推荐使用容器名，因为 IP 可能变化。
- 自定义 bridge 网络（
docker network create mynet）支持 DNS 解析，可用容器名互访。 - 性能略低于 host 模式，因为存在 NAT 和端口映射的开销。
常见误区：以为 bridge 模式下容器 IP 固定不变。实际上，重启容器后 IP 可能改变，建议使用自定义网络并通过服务名访问。
host 模式：性能优先，但隔离性弱
host 模式让容器直接共享宿主机的网络命名空间，不再有独立的 IP 和端口。容器内监听的端口直接绑定在宿主机上，无需 -p 映射。
docker run -d --name web --network host nginx
此时访问 宿主机IP:80 即可到达容器。
适用场景
- 对网络性能要求极高的应用（如日志收集、监控代理）。
- 需要监听大量端口或动态端口，避免映射繁琐。
注意：host 模式下容器与宿主机共享网络，端口冲突风险高，且失去网络隔离，不适合多租户环境。
none 模式：完全隔离，用于调试
none 模式不为容器配置任何网络接口，只有回环地址。用于完全隔离网络环境的场景，例如安全测试或离线任务。
docker run -it --network none alpine sh
在容器内执行 ip addr 只能看到 lo 接口。此模式适合需要彻底隔离网络的应用，但无法对外通信，也限制了容器间交互。
overlay 模式：跨主机通信的基石
overlay 网络用于 Swarm 集群或 Docker 跨主机通信。它通过 VXLAN 隧道封装数据包，使不同宿主机上的容器能像在同一局域网内一样通信。
启用步骤
- 初始化 Swarm：
docker swarm init - 创建 overlay 网络：
docker network create -d overlay my-overlay - 启动服务：
docker service create --network my-overlay --name web nginx
overlay 网络支持服务发现，服务名可直接作为访问地址，且自动负载均衡。
注意：overlay 网络需要集群环境，单机 Docker 无法使用；且数据封装带来额外开销，性能略低于 bridge。
macvlan 模式：让容器拥有独立 MAC 地址
macvlan 允许为每个容器分配一个独立的 MAC 地址，使其在网络中像物理设备一样被识别。常用于需要将容器接入现有物理网络的场景，例如运行需要直接广播的协议。
docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 my-macvlan
docker run --network my-macvlan --ip 192.168.1.100 -it alpine sh
此时容器可通过指定 IP 被局域网内其他设备直接访问，无需端口映射。
限制：macvlan 要求宿主机网卡支持混杂模式，且容器与宿主机之间无法直接通信（除非额外配置）。此外，IP 管理需要手动规划，避免冲突。
如何选择：一张决策表
需求推荐模式
单机默认bridge
极致性能host
完全隔离none
跨主机集群overlay
接入物理网络macvlan
实际项目中，往往组合使用。例如，前端服务用 bridge 暴露端口，后端服务用 overlay 内部通信。
常见问题排查
容器无法访问外网
检查宿主机是否开启 IP 转发：sysctl net.ipv4.ip_forward，若为 0，执行 sysctl -w net.ipv4.ip_forward=1。另外确认 DNS 配置，/etc/resolv.conf 是否正确。
宿主机访问不了容器端口
确认端口映射是否正确：docker port <container>。若使用 host 模式，检查端口是否被占用。
跨主机容器通信失败
确保所有节点已加入同一 Swarm，且防火墙放行 VXLAN 端口（默认 4789）。
参考资料
延伸阅读