运行多个Docker容器时出现网络问题求助

核心原因分析 #

这种32个容器阈值的问题，大概率是主机的网络命名空间、网桥转发规则或系统网络参数的默认限制触发了瓶颈，和Docker网络配置的表面正确性无关。

具体排查与修复步骤 #

1. 调整系统最大进程/命名空间限制 #

Linux默认对用户级进程数量有软限制，32这个数值很接近默认上限：

• 查看当前限制：ulimit -a，重点关注max user processes项
• 临时调整：ulimit -u 1024（仅当前会话生效）
• 永久生效：编辑/etc/security/limits.conf，添加：

  * soft nproc 1024
  * hard nproc 2048
  

  重启主机或重新登录后生效

2. 调高内核连接跟踪上限 #

大量容器会生成海量连接跟踪条目，耗尽内核资源：

• 查看当前连接数：cat /proc/sys/net/netfilter/nf_conntrack_count
• 查看上限值：cat /proc/sys/net/netfilter/nf_conntrack_max
• 临时调高：echo 65536 > /proc/sys/net/netfilter/nf_conntrack_max
• 永久生效：编辑/etc/sysctl.conf，添加：

  net.netfilter.nf_conntrack_max = 65536
  net.nf_conntrack_tcp_timeout_established = 86400
  

  执行sysctl -p立即生效

3. 优化Docker自定义网桥配置 #

避免使用过小的子网段，同时调整Docker转发参数：

• 编辑/etc/docker/daemon.json，添加或修改配置：

  {
    "bip": "172.20.0.1/16",
    "default-address-pools": [
      {"base": "172.21.0.0/16", "size": 24}
    ],
    "iptables": true,
    "ip-masq": true
  }
  

  /16子网可提供65534个可用IP，避免隐性子网限制
• 重启Docker服务：systemctl restart docker

4. 调整主机网卡队列长度 #

大量容器的网络包会填满网卡队列，导致丢断网：

• 查看当前队列：ethtool -g eth0（替换eth0为你的主机网卡名）
• 调整队列大小：ethtool -G eth0 rx 4096 tx 4096
• 永久生效：将上述命令添加到/etc/rc.local，并确保文件有执行权限

5. 实际验证网络连通性 #

不要仅依赖docker network inspect的输出，实际测试：

• 主机ping容器IP：ping 172.20.0.2（替换为你的容器IP）
• 容器内ping主机网关：docker exec <容器ID> ping 172.20.0.1
• 检查iptables规则：iptables -t nat -L DOCKER，确认所有容器转发规则存在

内容的提问来源于stack exchange，提问作者stacktomatojuiceleaf