在微服务与云原生架构普及的当下，容器已经成为应用部署的主流形态。然而容器网络涉及网络命名空间、虚拟网桥、iptables转发规则等多层抽象，一旦出现连通性问题，排查难度往往高于传统物理机或虚拟机环境。理解容器网络的底层数据路径，并掌握一套系统的连通性测试方法，是运维和开发人员必须具备的能力。
基于命名空间与网桥的基础连通验证
容器通常运行在独立的网络命名空间中，通过veth pair连接到宿主机的docker0或自定义bridge网桥。要测试两个容器之间的连通性，最直接的方式是进入其中一个容器的网络栈执行探测，但这要求容器内包含ping、curl等工具。如果镜像基于distroless构建，往往缺少这些二进制文件，此时可以从宿主机侧借助ip netns与nsenter命令完成等价操作。
具体做法是先通过docker inspect获取容器的PID，再将容器的网络命名空间软链接到/var/run/netns目录下，就可以用ip netns exec在宿主机上直接运行网络命令。这种方式避免了修改容器镜像，也能真实反映容器视角的路由表与ARP缓存。下面的示例展示了如何为容器建立网络命名空间句柄并测试其对同网段另一容器的连通情况。
# 获取容器PID
CID=$(docker inspect -f '{{.State.Pid}}' web_container)
# 建立netns软链
mkdir -p /var/run/netns
ln -s /proc/$CID/ns/net /var/run/netns/web
# 在容器网络栈中执行ping
ip netns exec web ping -c 3 172.18.0.3
# 查看容器路由
ip netns exec web ip route show
除了点对点测试，观察bridge网桥的转发统计也有助于判断流量是否真正离开源容器。使用bridge link或ip -s link show可以查看veth接口的错误包与丢包数。若发现某个veth的RX/TX存在大量dropped，通常意味着宿主机的iptables DROP规则或网桥的hairpin模式未开启，这需要结合后面的转发规则测试进一步确认。
利用iptables与tcpdump定位转发阻断
Docker默认通过iptables的nat表和filter表实现容器端口映射与隔离。很多连通性故障并不是网络不通，而是被DOCKER-USER或FORWARD链中的规则悄悄丢弃。我们可以在宿主机上用iptables -L -n -v查看各链匹配计数，特别留意FORWARD链中是否存在REJECT或DROP动作，以及DOCKER链是否正确地将目标端口DNAT到容器IP。
当统计信息难以直观解释问题时，tcpdump是最可靠的抓包手段。由于容器流量必然经过宿主机的veth接口或网桥，我们在宿主机上对对应接口抓包，就能看到容器发出或接收的原始报文。例如要确认从容器A访问容器B的80端口是否到达网桥，可以执行如下命令，观察是否有SYN包出现。
# 在宿主机抓取docker0网桥上的相关流量 tcpdump -i docker0 -nn 'host 172.18.0.3 and tcp port 80' # 若需跟踪具体veth，可先查容器veth名 ip link show | grep veth tcpdump -i vetha1b2c3 -nn
抓包结果的解读需要结合TCP三次握手状态。如果宿主机侧看到SYN但无SYN-ACK，问题多在目标容器应用未监听或容器内部防火墙；如果连SYN都看不到，则可能是源容器路由错误、网桥隔离或iptables提前丢弃。相比在容器内盲目重试，这种从外部观测数据平面的方法能大幅缩短定位路径，也适用于Kubernetes的Pod网络排障。
服务层可达性测试与自动化脚本
网络层互通不代表应用可用，因此连通性测试还应覆盖传输层与服务层。对于HTTP类服务，使用curl -v或wget能验证端口监听、TLS握手与响应码；对于TCP自定义协议，可用nc或telnet测试端口连通。建议在CI流水线或节点健康检查中嵌入这类探测，而非仅依赖Kubernetes的liveness探针。
我们可以编写一个简单的Bash脚本，循环检测多个容器的关键端口，并输出结构化结果，便于接入监控系统。脚本通过docker ps获取运行中的容器与暴露端口，再用timeout配合bash /dev/tcp实现无依赖的端口探活。以下示例展示了如何对指定容器列表做批量测试。
#!/bin/bash
# 容器名与端口映射数组
containers=("web:8080" "api:9090" "redis:6379")
for item in "${containers[@]}"; do
name=${item%:*}
port=${item#*:}
ip=$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' $name)
if timeout 3 bash -c "echo > /dev/tcp/$ip/$port" 2>/dev/null; then
echo "$name($ip:$port) OK"
else
echo "$name($ip:$port) FAIL"
fi
done
这种服务层测试的优势在于不依赖容器内部工具，且能直接反映业务依赖关系。当某个后端容器重启后IP变更，脚本基于容器名实时获取IP，可以避免硬编码带来的误报。将此类方法纳入日常运维手册，配合前面的命名空间验证与抓包分析，就能形成从应用到网卡的全栈连通性测试体系，显著降低容器网络故障的平均修复时间。
容器网络docker_network连通性测试修改时间：2026-08-16 15:20:31