Docker自定义网段需避开宿主机、K8s、虚拟机等现有网络冲突，推荐使用172.29.0.0/16等冷门私有段；可通过修改daemon.json的bip或default-address-pools全局配置，或用docker network create按项目显式指定子网。
在 Docker 中配置自定义网段，核心是避免与宿主机局域网、其他容器网络或已存在的虚拟网络（如 VirtualBox、VMware、Kubernetes CNI）发生 IP 冲突。默认的 172.17.0.0/16 网段在某些企业内网或开发环境中极易撞车（比如公司内网正好用 172.17.x.x），这时必须主动指定不重叠的私有网段。
确认当前冲突网段并选择安全替代网段
先查宿主机和已有网络的使用情况：
- 运行
ip route或ifconfig（Linux/macOS）或ipconfig（Windows WSL），重点关注本地局域网网关段（如192.168.1.0/24、10.0.2.0/24） - 检查是否已启用
docker-compose自定义网络、K8s 的podCIDR、或 Vagrant/VirtualBox 的 Host-Only 网络（常见于192.168.56.0/24、172.28.128.0/24） - 推荐选用较冷门但合法的私有地址段：例如
172.29.0.0/16、10.200.0.0/16或192.168.200.0/24——避开常用段（172.17、172.18、192.168.1–192.168.100）
修改 Docker daemon 配置指定默认 bridge 网段
这是影响所有 docker run 默认网络行为的关键步骤：
- 编辑 Docker 守护进程配置文件：
/etc/docker/daemon.json（Linux/macOS）或%ProgramData%\Docker\config\daemon.json（Windows Docker Desktop） - 添加或修改
default-address-pools（推荐）或bip字段：
（仅用于默认 bridge，不推荐用于生产多网络场景）{"bip": "172.29.0.1/16"}
或更灵活的池式配置（支持后续自动分配多个子网）：{"default-address-pools": [{"base": "172.29.0.0/16", "size": 24}]} - 保存后重启 Docker：Linux 执行
sudo systemctl restart docker；macOS/Windows 重启 Docker Desktop - 验证：运行
docker network inspect bridge | grep Subnet，应显示新网段
为特定项目显式创建隔离网络（推荐做法）
比改全局配置更安全、更可控，尤其适合多项目共存或 CI/CD 场景：
- 创建带指定子网的自定义桥接网络：
docker network create --subnet=10.200.10.0/24 --gateway=10.200.10.1 myapp-net - 启动容器时绑定该网络：
docker run --network=myapp-net nginx - 在
docker-compose.yml中声明：networks:<br> app-net:<br> driver: bridge<br> ipam:<br> config:<br> - subnet: 10.200.20.0/24<br> gateway: 10.200.20.1
- 注意：子网掩码需足够大（如 /24 至少提供 253 个可用 IP），且不能与宿主机路由表中任何直连或静态路由重叠
排查与验证是否真正避开了冲突
配置完别急着部署，做几项快速验证：
- 从容器内 ping 宿主机网关、DNS、以及你怀疑可能冲突的网段中的任意 IP，确认不通（理想状态）或有明确路由拒绝（而非超时）
- 在宿主机执行
ip route | grep -E "(172\.29|10\.200)"，确保没有意外添加到内核路由表（Docker 不该自动加 host-side 路由到自定义网段） - 如果使用 Kubernetes（如 Kind、Minikube），确认其
podCIDR与你设置的 Docker 网段无交集（例如 Kind 默认用172.17.0.0/16，就和你改bip到172.29是兼容的） - 遇到 DNS 解析失败？可能是容器内
/etc/resolv.conf指向了宿主机 DNS，而该 DNS 服务器恰好位于被屏蔽的冲突网段——此时可改用公网 DNS（如8.8.8.8）或显式配置--dns
