Docker网络配置的核心在于理解bridge、host、overlay等网络模式，并根据服务器场景选择合适的连接方式，同时掌握自定义网络与端口映射的实操方法。
早期接触Docker时，我总以为容器启动后网络就自动通了，直到有一次生产环境应用频繁超时，才发现是默认bridge模式的限制在作祟，服务器上的Docker网络不像本地开发那样简单，你既要考虑容器间的通信，又要兼顾外部访问，还得在跨主机场景下维持网络稳定。Docker网络配置的本质，就是为容器选择正确的网络模式，并确保连接路径畅通。
服务器Docker网络模式对比与选择
Docker提供了多种网络模式，不同模式对应不同的隔离级别和通信方式，在服务器上选错模式，轻则性能下降，重则服务无法互通，下面我把最常用的四种模式拆开来讲,先把它们的核心差异摆出来。
bridge模式：默认但非万能
bridge是Docker的默认网络模式，容器启动时未指定network，就会接入名为docker0的桥接网络，每个容器分配独立的IP，通过docker0与宿主机通信,再通过iptables的NAT规则访问外网。
优点：隔离性好，每个容器都有独立网络栈，适合单机部署的多个互不依赖的服务。
缺点：容器间通信需要互相连接或通过link，且跨主机场景下无法直接使用IP互通。在生产服务器的多容器架构中，如果你用默认bridge，就得手动管理容器间的连接关系，维护成本很高。
host模式：性能优先但牺牲隔离
host模式让容器直接使用宿主机网络栈，不进行网络隔离，容器内的端口映射配置会被忽略,因为容器监听的端口直接暴露在宿主机IP上。
优点：性能损耗极小，延迟低，适合对网络性能要求极高的场景，比如日志采集Agent或反向代理。
缺点：端口冲突风险大，失去网络隔离，容器与宿主机应用共享端口空间。如果你在服务器上同时运行多个需要监听80端口的服务，host模式绝不可用。
overlay模式：跨主机容器通信的标配
overlay是Swarm集群或Docker Compose跨主机部署时的首选模式，它通过VXLAN隧道在多个宿主机之间创建虚拟二层网络,使容器IP可以跨主机无感知通信。
优点：容器IP跨主机互通，无需手动维护路由表，适合微服务分布式架构。
缺点：配置相对复杂，需要提前为Swarm集群初始化，并确保宿主机之间UDP端口（4789）畅通。
macvlan与ipvlan：直接使用物理网段
macvlan为每个容器分配一个物理网段的MAC地址，让容器看起来像直接连接在物理网络上；ipvlan则共享MAC地址但使用不同IP，这两种模式适合需要容器直接接入公司现有网络策略的场景,比如容器需要与数据库在同一广播域内通信。
优点：容器可以直接使用物理IP，无需NAT转发，性能接近原生。
缺点：配置繁琐，需要宿主机网卡支持混杂模式,且IP管理容易混乱。
网络模式对比速览
| 模式 | 隔离性 | 性能 | 跨主机支持 | 配置复杂度 | 适用场景 |
|---|---|---|---|---|---|
| bridge | 高 | 中 | 否 | 低 | 单机多容器，默认环境 |
| host | 无 | 最高 | 否 | 极低 | 高性能代理、监控Agent |
| overlay | 高 | 中 | 是 | 中 | 微服务集群、Docker Compose |
| macvlan | 中 | 高 | 是（需配置） | 高 | 容器直接使用物理网络策略 |
选择建议：单机开发或测试用bridge即可；生产环境需要跨主机通信时，优先考虑overlay；若对延迟敏感且服务单一，可选host；需要容器使用物理IP时,再考虑macvlan。
服务器Docker网络连接配置步骤
掌握模式选择后，下一步就是上手配置，我总结了一套从自定义网络创建到容器连接的完整流程,适用于大多数服务器场景。
创建自定义bridge网络
默认bridge无法使用容器名直接解析IP，但自定义bridge网络可以,先创建网络：
docker network create --driver bridge --subnet 172.20.0.0/16 --gateway 172.20.0.1 mynet这里指定了子网和网关，避免与宿主机已有网段冲突，创建后，同一个网络内的容器可以互相通过容器名解析。在这个网络里，只需启动容器时加入network mynet，就能用容器名而不是IP进行通信，配置管理更灵活。
容器连接与端口映射
启动容器时指定网络映射：
docker run -d --name web --network mynet -p 80:80 nginx-p参数将宿主机80端口映射到容器80端口，外部请求通过宿主机IP:80即可访问容器，如果容器需要两个网络，可以用network连接多个网络，但通常不建议,因为会增加网络栈复杂性。
若你使用简米云服务器，注意安全组规则必须允许映射端口入站，否则外部访问依然不通,这是简米云服务器docker网络配置中最容易忽略的环节。
跨主机overlay网络配置
配置overlay网络需要先初始化Swarm集群：
docker swarm init --advertise-addr 192.168.1.10其他节点通过docker swarm join加入,然后创建overlay网络：
docker network create --driver overlay --attachable myoverlayattachable参数允许非Swarm服务的容器也连接该网络，在Swarm服务中直接使用network myoverlay即可跨主机通信。注意：宿主机之间的防火墙必须放行2377/tcp、7946/tcp/udp、4789/udp端口。
Docker网络连接不上？排查思路与解决方法
Docker网络连接不上是服务器运维中最常见的故障之一，我遇到过多次，总结出一套排查步骤,能从根源上定位问题。
第一步：检查网络模式与容器状态
用docker network ls查看所有网络，用docker network inspect <网络名>查看容器IP和连接情况，如果容器未显示在预期网络中，说明启动时没有指定网络,需重新创建容器。
第二步：测试容器间连通性
进入一个容器测试连通性：
docker exec -it web bash
ping <容器名或IP>如果ping不通，先检查是否在同一网络，在同一网络下，确认容器名是否可解析自定义bridge和overlay默认支持DNS解析，但默认bridge不支持。默认bridge的容器只能用IP互相访问，这是很多新手掉坑的地方。
第三步：排查宿主机iptables规则
Docker通过iptables实现网络隔离和NAT，如果服务器上同时运行了firewalld或ufw，可能导致规则冲突，执行iptables -L -n查看当前规则，检查FORWARD链是否允许转发。权威统计显示，相当一部分Docker网络故障源于iptables规则被外部工具覆盖。
第四步：检查端口映射与外部访问
外部访问容器时，确认宿主机端口被占用：
netstat -tuln | grep <端口>，如果端口映射正确但外部无法访问，需要检查云服务商的安全组或地域网络策略。使用简米云服务器时，安全组入方向必须添加目标端口规则，否则无论Docker配置多正确，外部请求都会被拦截。
第五步：查看Docker日志与服务状态
docker logs <容器名>可以查看容器内部日志，systemctl status docker查看Docker服务本身是否异常，如果服务重启过，默认bridge网络的IP可能变化，导致容器间连接失败。建议始终使用自定义网络，避免依赖默认bridge的IP分配。
服务器Docker网络配置常见问题
Q1：Docker容器重启后IP变了，如何固定IP？
Docker默认不保证重启后IP不变，要固定IP，有两种方法：一是创建自定义网络时指定子网，然后启动容器时用ip参数手动分配，例如docker run -d --network mynet --ip 172.20.0.10 nginx；二是使用Docker Compose通过networks配置固定的ipv4_address。注意：使用固定IP时要确保不在DHCP范围内，避免冲突。
Q2：多个容器都想用80端口，怎么处理？
同一宿主机上，只能有一个容器绑定宿主机80端口，解决方案包括：使用反向代理容器（如Nginx）监听80端口，并将请求转发到其他容器的不同内部端口；或者将容器端口映射到宿主机不同端口，如-p 8080:80、-p 8081:80。行业共识认为，反向代理方式最灵活，也便于后续扩展。
Q3：overlay网络跨主机通信时，容器能ping通但应用连不上，为什么？
ping通表明网络层正常，问题通常出在应用层，检查应用是否监听在正确的IP上（很多容器默认监听0.0.0.0，但有些应用只监听127.0.0.1）；确认容器内连接其他服务时使用的是服务名而非硬编码IP；如果使用Swarm服务，确保服务发布在正确的网络端口上。我曾遇到因容器内应用配置文件错误导致连接失败，而非网络本身问题。
无论你是刚接触Docker的新手，还是正在排查生产环境网络故障，核心思路始终是：先理解模式区别，再上手配置，最后用系统方法排查，Docker网络配置没有万能药，但掌握了自定义网络、端口映射和问题排查框架,就能应对大多数服务器场景。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/530193.html
