Docker 网络故障排查：从链路不通到流量异常的定位方法

在容器化环境中，Docker 网络是应用运行的核心基础设施。网络故障可能导致服务中断、性能下降等问题。本文基于实际经验，系统化介绍从链路不通到流量异常的定位方法，帮助用户快速恢复网络健康。文章结构清晰，分为链路不通排查和流量异常排查两部分，辅以实用命令示例。

一、链路不通的排查方法

链路不通指容器间或容器与外部网络无法通信，常见于 IP 冲突、路由错误或防火墙拦截。以下是逐步定位流程：

1. 检查容器网络状态
   确认容器是否接入正确网络。使用 docker network inspect 命令查看网络详情：

   docker network inspect bridge  # 示例：检查默认桥接网络
   

   输出应包含容器 IP 和网关信息。若容器未分配 IP，重新启动容器或检查网络驱动。

2. 测试基础连通性
   使用 ping 命令验证容器间通信：

   docker exec -it container1 ping 172.17.0.3  # 示例：从容器1 ping 容器2的IP
   

   若不通，检查防火墙规则：

   iptables -L  # 查看iptables规则，确保无DROP规则
   

   常见问题：宿主机防火墙（如 UFW）阻塞流量，需添加允许规则。

3. 诊断路由问题
   使用 traceroute 追踪路径：

   docker exec -it container1 traceroute google.com  # 测试外部路由
   

   若路径中断，检查宿主机路由表：

   route -n  # 查看路由配置
   

   跨主机网络（如 overlay）需确保 VXLAN 隧道正常。

4. 验证 DNS 解析
   链路不通可能源于 DNS 失败：

   docker exec -it container1 nslookup google.com  # 测试DNS解析
   

   若失败，检查 /etc/resolv.conf 或 Docker DNS 设置。

通过以上步骤，90% 的链路不通问题可定位。若仍无效，重启 Docker 服务或检查底层网络硬件。

二、流量异常的定位方法

流量异常表现为带宽不足、延迟高或丢包率高，需监控与分析流量模式。

1. 实时监控网络流量
   使用 docker stats 查看容器资源使用：

   docker stats --format "table {{.Name}}\t{{.NetIO}}"  # 监控网络IO
   

   若流量突增，识别源头容器。结合工具如 Prometheus 长期记录。

2. 捕获并分析数据包
   用 tcpdump 抓包诊断异常流量：

   docker run --net=host -it nicolaka/netshoot tcpdump -i eth0 -w capture.pcap  # 示例：抓包保存
   

   分析包文件（如用 Wireshark），检查：

   • 是否有 SYN 洪水攻击（大量半开连接）。
   • 应用层协议异常（如 HTTP 请求风暴）。

3. 检查带宽限制与拥塞
   Docker 支持带宽限制，使用 tc 命令验证：

   tc qdisc show dev docker0  # 查看桥接接口队列
   

   若带宽不足，调整容器网络参数：

   docker run -it --network my-net --sysctl net.core.somaxconn=1024 alpine  # 示例：增大连接队列
   

   拥塞时，优化应用代码或升级网络配置。

4. 分析日志与应用行为
   结合容器日志定位根源：

   docker logs container1 --tail 100  # 查看尾部日志
   

   常见原因：循环请求、配置错误或依赖服务故障。

总结

Docker 网络故障排查需遵循“从简到繁”原则：先确认基础连通性（链路不通），再深入流量分析（异常模式）。关键工具包括 ping、traceroute、tcpdump 和 docker 原生命令。实践中，建议：

• 定期审查网络配置。
• 在测试环境模拟故障以积累经验。
• 结合监控系统（如 Grafana）实现预警。

通过系统化方法，用户可独立解决多数网络问题，确保容器环境稳定运行。