容器网络模型的基础在于，同节点容器通过虚拟网桥和veth pair直接交换数据，跨节点容器则依赖覆盖网络或路由协议实现互通，掌握这两条路径是理解容器网络的关键。
容器同节点通信原理：网桥与veth pair的协作
同节点上的容器如何互相访问？这副合作的底层组件是虚拟网桥和veth pair，每个容器都拥有自己的网络命名空间，但默认会连接到宿主机上的同一个网桥（如docker0），容器启动时，系统会创建一对veth接口，一端放在容器内（通常为eth0），另一端挂在宿主机网桥上，这意味着同一台机器上的所有容器都属于同一个二层网络，彼此可以直接通信，不经过宿主机外的物理网络。
- 通信流程：容器A发送数据包到容器B，包通过自身veth端点到达宿主机网桥，网桥根据MAC地址表转发至容器B的veth端点，最终进入容器B。
- 关键组件：veth pair提供直连通道，网桥实现二层交换，iptables有时用于控制流量（比如Docker的端口映射）。
- 实操验证：运行
docker network inspect bridge查看容器IP和网关，在宿主机用ip link能看到一堆vethxxx接口，这些就是veth pair的宿主机端，若想追踪同节点通信的具体路径，ip route和bridge fdb能帮你定位网桥转发状态。
这种模式高效且简单,是大多数Docker单机部署的默认选择，但当你需要将容器分布到多台宿主机时，这套模式就不够用了。
跨节点容器网络怎么实现？覆盖网络与路由方案详解
当容器分布在多个宿主机上时,跨节点通信需要解决一个核心问题：如何让容器IP在宿主机之间可达？目前主流的两种思路是覆盖网络和路由方案，各有适用场景。
覆盖网络模式：VXLAN与Overlay
覆盖网络通过在宿主机之间建立隧道,把容器数据包封装在宿主机网络的数据包中，就像在物理网络之上铺了一层逻辑网络。
VXLAN是最常用的封装协议，它将二层帧封装在UDP包中，利用VTEP设备进行解封装。
- 常见实现：Flannel VXLAN模式、Weave Net、Calico IPIP模式。
- 优点：对底层网络无要求，只要宿主机之间三层连通即可。
- 缺点：封装和解封装带来额外CPU开销，性能损耗较大，尤其在高速场景下。
- 实操：部署Flannel VXLAN后，在宿主机上
ip link show flannel.1能看到VTEP设备，bridge fdb show查看MAC转发表，确认隧道状态。
路由模式：直接路由与BGP
路由模式不再封装数据包,而是通过配置宿主机路由表或使用BGP协议，让网络直接知道容器IP所在位置，数据包以容器IP为目的地，经宿主机路由转发，无需额外封装。
- 常见实现：Flannel host-gw、Calico BGP。
- 优点：性能接近物理网络，因为无需封装和解封装。
- 缺点：要求底层网络能路由容器IP，且宿主机之间需二层连通（host-gw）或支持BGP（Calico BGP）。
- 适用场景：适合对延迟和吞吐敏感的生产环境，尤其大规模集群。
对比表格：
| 模式 | 性能 | 对底层网络要求 | 运维复杂度 | 典型场景 |
|---|---|---|---|---|
| 覆盖网络(VXLAN) | 较低 | 三层连通即可 | 低 | 公有云、跨机房 |
| 路由模式(BGP) | 高 | 需要支持容器IP路由 | 中 | 私有云、高性能场景 |
业内专家指出,在决定跨节点通信方式时，应优先考虑集群规模和网络条件，路由模式较适合受控环境，而覆盖网络是通用方案。
容器网络模型基础：从Docker到Kubernetes的演进
理解容器网络模型,离不开Docker和Kubernetes这两个主流平台，它们提供了不同的网络抽象，但底层原理相通。
Docker的四种网络模式
Docker网络模型相对简单,提供了几种通信方式：
- bridge模式：默认，利用网桥连接容器，适用于同节点通信。
- host模式：容器直接使用宿主机网络栈，性能最佳，但隔离性弱。
- overlay模式：Docker Swarm模式下的跨节点网络，基于VXLAN。
- macvlan模式：为容器分配物理网络MAC地址，适合需要与物理网络直接通信的场景。
在Docker中,容器同节点通信主要通过bridge，而跨节点通信在Swarm集群中通过overlay实现，这些模式奠定了容器网络模型基础，但当你转向Kubernetes时，会发现网络要求更严格。
Kubernetes网络模型的核心要求
Kubernetes对网络有硬性规定：所有Pod互通，且无需NAT，它不内置网络方案，而是通过CNI（容器网络接口）插件实现，Kubernetes网络模型强调：
- 每个Pod都有独立IP,Pod之间可直接通信。
- 节点上的Pod能与所有节点上的Pod通信。
- 无需端口映射即可访问Pod。
在Kubernetes中,跨节点通信是CNI插件的核心职责，而同节点通信则由CNI插件内部实现（通常也是网桥+veth pair），选择CNI插件时，需要考虑容器网络性能对比和功能需求，比如Calico强调网络策略，Cilium利用eBPF提升性能。
CNI插件的角色
CNI插件负责配置Pod的网络命名空间、创建veth pair、设置路由等，不同的CNI插件对应不同的网络模型，选择时需结合生产环境要求。
常见CNI插件对比：生产环境如何选型？
面对众多CNI插件,如何选择？从性能、功能、复杂度三个维度来看，不同场景有不同偏好。
- Flannel：简单易用，默认使用VXLAN覆盖网络，性能一般，适合小规模或测试环境。
- Calico：支持BGP路由模式，性能好，且内置网络策略，适用于生产环境，但需要BGP环境或配置IPIP。
- Weave：使用VXLAN和快速路径技术，易用但性能不如Calico路由模式。
- Cilium：基于eBPF，性能极致，支持高级网络策略和可观测性，但技术较新，运维门槛较高。
生产环境选型建议：
- 如果对性能要求高且底层网络支持路由,优先选择Calico的BGP模式。
- 如果追求简单,且性能不是瓶颈，Flannel VXLAN足够。
- 如果需要丰富的网络策略和可观测性,Cilium是未来趋势。
行业共识认为,容器网络性能对比时，路由模式（BGP）通常优于覆盖网络，但具体还需结合业务负载测试，在Kubernetes网络模型选型过程中，建议先跑一遍基准测试，再决定长期方案。
Q&A：容器网络通信常见问题
同节点容器通信是否经过宿主机协议栈？
是的,数据包经过网桥时，会经过宿主机内核协议栈的二层处理和iptables规则，但因为同一台机器，延迟很低，多数情况下可忽略不计。
跨节点容器通信延迟高怎么排查？
首先确认通信模式,如果是覆盖网络，检查VXLAN隧道是否正常（ethtool -S flannel.1），如果是路由模式，检查路由表（ip route）和ARP表，还可以使用tcpdump抓包，看数据包是否被正确封装或路由，逐步定位瓶颈。
Docker容器网络与Kubernetes网络的本质区别是什么？
Docker网络模型更灵活,但默认只解决单机通信；Kubernetes要求所有Pod互通，且通过CNI插件标准化网络方案，更适合大规模集群和复杂网络策略，Docker适合开发测试，Kubernetes适合生产编排，二者在容器网络模型基础上共享网桥与veth pair原理，但上层抽象差异明显。
无论你面对的是同节点通信还是跨节点通信,核心都是通过虚拟化技术打破网络命名空间隔离，同节点依赖网桥，跨节点则要选择封装或路由，理解这些基础模型，你就能在排障和选型时更有底气。