解读

面试官想知道你是否真正“跑过”Swarm 集群，能否把“临时扩”和“声明式扩”在数据面与控制面上的区别讲清楚，而不是背命令。国内大厂线上环境普遍用 Swarm 过渡或边缘场景，网络抖动、IP 耗尽、负载漂移是真实痛点，答到这些才能加分。

知识点

1. 作用对象

   • docker-compose scale 仅作用于本地 docker-compose 工程，调的是 Docker Engine 本地 API。
   • deploy.replicas 是Swarm Stack 的声明字段，由 Swarm Manager 通过 Raft 写入集群 store，最终下发到各节点。

2. 网络生命周期

   • scale 新增容器仍挂在本地工程网络（bridge 或 compose 文件定义的 attachable 网络），DNS 记录由本地 embedded DNS 维护，作用域单节点。
   • deploy.replicas 新增 Task 会触发 Swarm 的Service Endpoint Slice 重建，DNS 记录写入集群级 gossip mesh，通过 ingress 网络（IPVS）或 overlay 网络（VXLAN）实现跨节点负载均衡。

3. 负载均衡实现

   • scale 场景下，若用默认 bridge，无内置 LB，需自己挂 nginx 或 links；若用 compose 定义的 overlay 且已 attachable，LB 靠docker_gwbridge + iptables，性能一般。
   • deploy.replicas 自带Swarm Mode LB：每个节点启动skb 模式的 IPVS 内核模块，新建 replica 立即在所有节点的 IPVS 表中生成真实后端，无需用户态跳；同时 ingress 网络占用10.255.0.0/16段，避免与集群 CIDR 冲突。

4. IP 地址分配

   • scale 容器 IP 由本地节点 docker0 或用户自定义 bridge 分配，可能出现 172.17 段地址漂移。
   • deploy.replicas 的 Task IP 来自Swarm 子网分配器，按**/24 分段**预分给每个节点，IP 与 Task 生命周期绑定，缩容时立即回收，不会碎片堆积。

5. 网络策略与灰度

   • scale 无法使用Swarm 的 Routing Mesh，因此不能利用 --publish 模式的 target-port 灰度。
   • deploy.replicas 支持滚动更新 + parallelism，网络层通过IPVS 权重置 0 实现连接优雅终止，FIN 包转发到旧 Task，新连接只到新 Task，国内金融场景常用此特性做零中断发布。

6. 排障视角

   • scale 出问题先看本地 iptables 与 docker0 桥，brctl show 即可。
   • deploy.replicas 出问题需跨节点，用docker service inspect --pretty 看 Endpoint 列表，确认 VIP 与 Task IP 是否一致，再抓VXLAN 4789 端口确认UDP 封装是否丢包。

答案

scale 是本地 docker-compose 的命令式扩容，新增容器仍由本地 Engine 调度，网络层面复用本地 bridge/overlay，DNS 与负载均衡能力局限于单节点，无集群级 VIP，也不会触发 IPVS 表同步；而 deploy.replicas 是 Swarm 的声明式副本数，由 Manager 通过 Raft 一致性协议下发，每个新 Task 都会注册到集群 gossip DNS 并实时同步到所有节点的 IPVS 内核表，借助 ingress 网络实现跨节点负载均衡与连接保持，同时 IP 地址由 Swarm 集中子网分配器管理，生命周期与 Task 强绑定，缩容即回收，因此两者在网络层面的差异本质上是本地单机网络 vs 集群 Overlay + IPVS 网络的差异。

拓展思考

1. 如果面试官追问**“K8s 的 replicas 与 Swarm 的 replicas 网络差异”，可答：K8s 用kube-proxy + iptables/ipvs** 实现 service VIP，但CNI 插件可替换（Calico、Flannel、Cilium），而 Swarm 的 ingress 网络内核固定 IPVS，无法插件化；国内部分公司因安全组白名单限制，会关闭 Swarm 的 ingress 模式，改用host 模式 + 自研 LB，此时需手动维护健康检查。

2. 若场景是边缘弱网，deploy.replicas 的跨节点 VIP 可能因VXLAN 4789 被运营商封禁导致服务黑洞，可建议启用 --endpoint-mode dnsrr 放弃 VIP，让客户端做轮询，但代价是失去连接保持。

3. 国内云厂商的弹性网卡 ENI 与 Swarm overlay 并存时，注意MTU 1450 vs 1500 差异，防止分片；最佳实践是把宿主机 MTU 降到 1450，否则大报文场景会出现SSH 卡顿、HTTPS 握手超时等表象，容易误判为 replicas 网络差异导致。

把以上三点作为**“加分彩蛋”** 主动抛出，可让面试官确信你既懂原理也踩过坑，面试通过率直线上升。