Docker部署超30个Node实例触发Axios 30000ms超时排查

该问题和Node.js单进程出站连接数上限无关：Node.js本身没有硬编码的全局出站连接阈值，限制是进程级的，不可能跨容器生效。
触发超时的核心原因是Docker默认bridge网络的NAT源端口耗尽：

• Docker默认bridge网络下，所有容器访问外部网络的流量都会经过宿主机iptables做MASQUERADE地址转换，所有NAT连接的源端口都从宿主机的本地端口池分配。
• 多数Linux发行版默认的本地端口范围是32768~60999，可用端口总量约2.8万个，刚好和观测到的30个实例触发故障的规模吻合。
• Axios在Node.js环境下默认未开启HTTP长连接复用，每次发起请求都会新建TCP连接，请求结束后连接会进入TIME_WAIT状态，默认等待60秒（2*MSL）才会被系统回收。随着实例数增加，TIME_WAIT状态的连接会快速占满所有可用NAT源端口，新请求无法分配到有效源端口，SYN包会被直接丢弃，直到超过Axios配置的30秒超时阈值抛出错误。
• 宿主机直接用wget、浏览器访问API正常，是因为这类手动请求的量级极低，不会占用大量端口，自然不会触发阈值。

出现报错时在宿主机执行以下命令即可确认：

• 执行ss -ant state time-wait | wc -l统计当前TIME_WAIT状态的连接数，如果数值接近2.8万，可直接确认是源端口耗尽。
• 执行sysctl net.ipv4.ip_local_port_range查看当前宿主机NAT可用源端口范围，确认可用端口总量。
• 执行dmesg -T | grep nf_conntrack: table full，如果输出对应日志，说明同时触发了conntrack连接跟踪表溢出。
• 进入报错容器抓包，会看到访问后端API的SYN包发出后没有任何SYN+ACK响应，连接全程无数据传输直到超时，可排除代码逻辑、后端服务本身的问题。

按优先级从高到低操作即可：

1. 代码层优化（治本，资源开销最低）
   给Axios配置开启HTTP长连接复用，从根源减少TCP新建连接数，配置示例：

const axios = require('axios');
const http = require('http');
const https = require('https');

// 按实际业务并发调整maxSockets数值，单实例维持少量长连接即可满足需求
const httpAgent = new http.Agent({ keepAlive: true, maxSockets: 50 });
const httpsAgent = new https.Agent({ keepAlive: true, maxSockets: 50 });

const requestClient = axios.create({
  httpAgent,
  httpsAgent,
  timeout: 30000
});

// 全局使用该实例发请求即可

配置完成后，单实例到后端的长连接会维持在个位数，30个实例总连接数仅百余，完全不会触发端口耗尽问题。

2. 宿主机内核参数调整
   临时调优执行以下命令：

# 扩大NAT可用源端口范围
sysctl -w net.ipv4.ip_local_port_range="1024 65535"
# 开启TIME_WAIT连接复用
sysctl -w net.ipv4.tcp_tw_reuse=1
# 调大conntrack连接跟踪表上限（有conntrack溢出日志时配置）
sysctl -w net.netfilter.nf_conntrack_max=262144

需要永久生效的话，把上述配置写入/etc/sysctl.conf，执行sysctl -p加载配置即可。

3. Docker网络层优化
   如果业务不需要Docker做网络隔离，可直接使用host网络模式部署容器，跳过MASQUERADE地址转换环节，从网络层面规避NAT端口耗尽问题。

内容的提问来源于stack exchange，提问作者Леонид Николаев