容器ping 8.8.8.8失败说明NAT或网桥层断连，需检查宿主机IP转发是否开启、iptables NAT规则是否缺失、docker0网桥是否正常，并在宝塔等环境中排查NetworkManager对DNS和网桥的干扰。
容器 ping 8.8.8.8 失败，说明 NAT 或网桥层已断连
这不是 DNS 问题，而是底层网络通路被切断。典型表现是：docker exec -it 直接超时，但宿主机 ping 8.8.8.8 正常。这意味着容器发不出去任何 IP 包，必须从 docker0 网桥和内核转发两个层面修复。
重建 docker0 网桥前必须停掉所有容器和服务
强行重建会丢失正在运行的容器网络状态，且可能卡死进程：
- 先执行
sudo systemctl stop docker，确保 Docker 守护进程完全退出 - 再运行
sudo pkill docker清理残留进程（尤其在宝塔环境下常有未响应的 dockerd） - 清理 iptables NAT 规则：
sudo iptables -t nat -F - 删除旧网桥：
sudo ifconfig docker0 down && sudo brctl delbr docker0 - 最后启动服务：
sudo systemctl start docker
完成后用 ip link show docker0 确认接口存在，再 docker network ls 检查 bridge 网络是否恢复。
宿主机 IP 转发未开启会导致容器出向流量被静默丢弃
Linux 默认关闭 IPv4 转发，Docker 依赖它做 SNAT。即使 docker0 存在，转发关着，容器照样无法上网：
- 检查当前状态：
sysctl net.ipv4.ip_forward—— 返回0即未启用 - 临时开启：
sudo sysctl -w net.ipv4.ip_forward=1 - 永久生效：向
/etc/sysctl.conf追加一行net.ipv4.ip_forward = 1，再执行sudo sysctl -p
注意：宝塔面板所在服务器若启用了 firewalld 或 ufw，还需确认 FORWARD 链默认策略为 ACCEPT，否则转发包会被防火墙拦截。
宝塔环境特别要注意 NetworkManager 干扰 DNS 和网桥
Ubuntu/CentOS 桌面版或部分云镜像自带 NetworkManager，它会接管 docker0 并覆盖 /etc/resolv.conf，导致容器内 resolv.conf 被清空或写入错误 nameserver：
- 编辑
/etc/NetworkManager/NetworkManager.conf，在[main]段下添加dns=none，或注释掉dns=dnsmasq - 重启服务：
sudo systemctl restart NetworkManager && sudo systemctl restart docker - 验证容器内 DNS：
docker exec -it bt-panel cat /etc/resolv.conf，应含nameserver 8.8.8.8或宿主机真实 DNS
这个干扰点在宝塔 + Docker 组合中高频出现，但日志里几乎不报错，只能靠手动比对 /etc/resolv.conf 内容判断。
