如何识别Docker容器TCP默认超时？解析IP超时差异并调整

一、容器IP与公网IP超时差异的原因 #

你看到的两种超时差异，本质是网络层面的响应机制不同：

• 探测容器IP（172.28.36.5）时，目标端口未开放，容器所在的网络栈（或主机内核）会直接返回RST包，告知连接无法建立，nc收到RST后立刻终止，所以耗时仅0.005秒。
• 探测公网IP（34.91.145.25）时，请求要经过GCP的公网网关和外部防火墙。GCP默认对未开放的端口采用静默丢弃数据包的策略，不会返回RST或ICMP错误。nc会持续发送SYN包重试，直到达到自身的连接超时阈值（这里是2分10秒），所以耗时远长于容器IP的探测。

这个公网侧的超时是GCP平台防火墙的行为，和容器本身的配置无关。

二、tcp_keepalive_time与当前测试超时的关系 #

/proc/sys/net/ipv4/tcp_keepalive_time（当前7200秒）是TCP连接建立后的保活参数，作用是：当连接空闲超过该时间后，内核会发送第一个保活探测包，用于检测连接是否存活。它管的是已建立连接的空闲超时，而你测试的是连接建立阶段的超时，完全是两个不同的场景，所以和你的测试结果不符是正常的。

三、调整容器TCP超时的建议 #

1. 先明确超时类型 #

你需要先明确要调整的是哪种超时：

• 连接建立阶段的超时：指发起连接后，多久没收到响应就判定失败。
• 已建立连接的空闲超时：指连接建立后，多久无数据交互就断开。

2. 针对连接建立阶段的调整 #

• 容器内的应用通常会自带连接超时配置（比如HTTP客户端的connect_timeout），优先修改应用自身的配置。
• 如果要调整容器网络栈的默认行为，可以在启动容器时通过--sysctl参数修改内核参数：
  • 调整SYN包重试次数：docker run --sysctl net.ipv4.tcp_syn_retries=5 ...（默认值通常是5，总超时时间由重试次数和间隔决定）
  • 调整SYNACK的重试次数：docker run --sysctl net.ipv4.tcp_synack_retries=3 ...

3. 针对已建立连接的空闲超时 #

• 修改tcp_keepalive_time相关参数，同样通过--sysctl传递给容器：

  docker run --sysctl net.ipv4.tcp_keepalive_time=3600 --sysctl net.ipv4.tcp_keepalive_intvl=60 --sysctl net.ipv4.tcp_keepalive_probes=5 ...
  

  这组参数的意思是：连接空闲3600秒后发送第一个保活包，之后每60秒发一次，连续5次没收到响应就断开连接。
• 部分应用会有自己的空闲超时逻辑，需要同时调整应用配置。

4. 正确的测试方式 #

测试容器的超时配置时，应该在容器内部或者同主机的容器网络段内进行（比如用另一个容器或主机直接访问容器IP），避免通过公网IP测试——公网侧的超时是GCP防火墙决定的，无法反映容器本身的配置。

内容的提问来源于stack exchange，提问作者Zama Ques