我如何评价 docker 容器上的 limit.network 流量

Question

我想为对等 2 对等应用设置一个 docker 容器。 此应用程序没有应用程序级别的速率限制，因此我试图在容器级别设置限制。 我想对所有端口上的传出和传入连接进行速率限制，但应用程序的 web UI 使用的端口除外。

Answer 1

我很难找到这个问题的答案。 各种论坛上的大多数答案都是错误的（我用两个iperf3节点对其进行了测试，发现解决方案不起作用或仅限制一个方向的通信（仅传入或仅传出）。P2P应用程序具有更对称的数据使用方式与传统的客户端/服务器应用程序相比，流量必须双向限制。

我发现最好的方法是限制Docker容器的网络带宽（入站和出站），是在运行的容器中使用Linux自己的流量控制设置。 在启动P2P应用程序之前，请在容器内执行tc命令。

例如，您可以创建一个如下所示的启动脚本，将其复制到您的docker映像中，然后将其作为ENTRYPOINT调用。

Dockerfile（代码段）：

COPY start-my-p2p.sh /
RUN chmod +x /start-my-p2p.sh    
ENTRYPOINT /start-my-p2p.sh   

在start-my-p2p.sh中放入以下内容（ tc cmdlines可能是您一直在Internet上搜索的内容）：

#/bin/sh

# Limit all incoming and outgoing network to 1mbit/s
tc qdisc add dev eth0 handle 1: ingress
tc filter add dev eth0 parent 1: protocol ip prio 50 u32 match ip src 0.0.0.0/0 police rate 1mbit burst 10k drop flowid :1
tc qdisc add dev eth0 root tbf rate 1mbit latency 25ms burst 10k`

# Now start your p2p application
myp2pservice -d 

重要说明：启动容器时，您需要使用--cap-add=NET_ADMIN ：

docker run --rm -it --cap-add=NET_ADMIN -p6969:p6969 myimage

Answer 2

您可以使用iptables限制模块。 例如，您可以使用选项“ -m limit --limit 10 / s”将规则添加到PREROUTING表中，以限制特定端口每秒仅接收10个连接。

Answer 3

在 docker 主机上应用 tc 策略。

# find container pid
container_id=$(docker inspect some_container -f '{{.State.Pid}}')
mkdir -p /var/run/netns
# link network namespace for `some_container`
ln -sfT /proc/$container_id/ns/net /var/run/netns/some_container
# view the interface of the container
ip netns exec some_container ip -br -c link
# add traffic control policy to the interface in network namespace `some_container`
tc -n some_container qdisc add dev eth0 tbf rate 1024kbps 1024b limit 1024b