如何实现 Docker 容器的网络流量控制与限速

Docker容器需借助Linux内核tc命令对宿主机侧veth接口限速，步骤包括定位veth、tc配置出向带宽、可选iptables过滤，要求root权限且规则需手动清理。

Docker 容器本身不提供原生的网络带宽限速功能，必须借助 Linux 内核的底层网络控制能力来实现。核心路径是：定位容器对应的虚拟网卡（veth）→ 在宿主机侧用 tc 限速 → 可选加 iptables/nftables 过滤 → 验证与维护。整个过程无需进入容器、不依赖额外镜像，但需 root 权限。

准确定位容器的 veth 接口

每个桥接网络下的容器，在宿主机上都对应一个 veth 设备（如 `vethabcd12`），一端连容器 `eth0`，另一端挂在 `docker0` 网桥上。操作前必须先找到它：
– 查容器 IP 和 MAC 地址：docker inspect myapp | grep -A 5 “IPAddress|MacAddress”
– 根据 MAC 反查 veth 名称：ip -br link show | grep -B1 ‘aa:bb:cc:dd:ee:ff’ | head -1 | awk ‘{print $1}’（替换为实际 MAC）
– 确认接口存在：ip link show vethabcd12

在宿主机侧对 veth 主机端配置出向限速

限速最稳定的方式是作用于 veth 的宿主机端（如 `vethabcd12`），只影响容器发出的流量（容器 → 外部），无需容器内提权或安装工具：
– 清除已有规则（修改前必做）：tc qdisc del dev vethabcd12 root
– 简单固定限速（如 2 Mbps）：tc qdisc add dev vethabcd12 root tbf rate 2mbit burst 32kbit latency 400ms
– 分层灵活限速（保底 + 借用）：tc qdisc add dev vethabcd12 root handle 1: htb default 30，再添加 class 和 filter
– 验证是否生效：tc qdisc show dev vethabcd12

按需添加精准包过滤

若需控制哪些流量能发出去，应在宿主机的 `FORWARD` 链中，用 `physdev` 模块匹配 veth 接口：
– 禁止访问某 IP 段：iptables -I FORWARD -m physdev –physdev-in vethabcd12 -d 192.168.100.0/24 -j DROP
– 只允许 HTTP/HTTPS 流量：iptables -I FORWARD -m physdev –physdev-in vethabcd12 -p tcp -m multiport –dports 80,443 -j ACCEPT，再加一条 `-j DROP` 拦截其余
– 查看匹配计数：iptables -L FORWARD -v -n | grep vethabcd12

注意事项与实用建议

– 所有 tc 和 iptables 操作都需要 root 权限
– 规则不会随容器销毁自动清除，建议写成启动脚本或配合 `docker events` 自动管理
– 不适用于 `–network=host` 模式（此时共享宿主机网络栈，无法按容器粒度控制）
– 生产环境推荐封装为工具（如 `wondershaper vethabcd12 2048 1024`）或接入 CNI 插件（如 Kubernetes 中的 bandwidth CNI）
– 若需双向限速（含入向），需启用 `ifb` 模块并重定向 ingress 流量，复杂度高，一般不推荐初用

不复杂但容易忽略