多网卡下Docker容器路由选错源于宿主机多默认网关或子网重叠，需清理冲突路由、避免docker0与业务网段冲突、配置SNAT及启用IP转发，并优先使用自定义bridge网络。

多网卡环境下Docker容器路由选错，本质是宿主机存在多个默认网关或子网重叠，导致流量被错误导向docker0或非业务网卡。核心不在容器本身，而在宿主机路由表与Docker网络配置的协同关系。

确认宿主机是否存在多默认路由

执行 ip route，重点检查是否出现多条 default via xxx dev xxx。Docker启动后若宿主机已有默认路由，它可能不会自动适配，反而新增一条冲突的默认路径（如同时存在 default via 192.168.5.1 dev ens33 和 default via 172.17.0.1 dev docker0）。这种重复默认路由会破坏出向流量走向。

• 临时清理：用 sudo ip route del default via 172.17.0.1 删除由Docker误加的默认路由
• 永久规避：在Docker启动前确保宿主机仅保留一条业务网卡的默认路由
• 验证：清理后再次 ip route，应只剩一条 default via [业务网关] dev [业务网卡]

避免docker0与业务网段地址冲突

Docker默认使用 172.17.0.0/16，若宿主机业务网段为 172.17.10.0/24 或 172.16.0.0/12，就会触发内核路由模糊匹配，优先走docker0而非物理网卡。

• 修改 /etc/docker/daemon.json，指定不重叠的网段，例如：
  {"bip": "192.168.200.1/24"}
• 停服务：sudo systemctl stop docker containerd
• 删旧网桥：sudo ip link delete docker0
• 重启：sudo systemctl start docker
• 验证：ip addr show docker0 应显示新IP，且 ip route 中对应子网已更新

强制容器流量走指定网卡出口

当宿主机有 eth0（内网）、eth1（公网）等多张业务网卡时，需确保容器出站流量经由正确接口。仅靠默认路由不够，需配合策略路由或iptables SNAT。

Docker Encyclopedia

Docker 文档优先工作流：针对 Docker 特定问题、故障排除、命令规划、镜像/构建、容器/运行时操作及 Compose 等

下载

• 确认容器所在网桥的宿主机侧IP（如 192.168.200.1），该IP必须属于你希望出口的网卡子网或能被其网关转发
• 若需强制走 eth1（假设其IP为 203.0.113.10），可添加SNAT规则：
  sudo iptables -t nat -A POSTROUTING -s 192.168.200.0/24 -o eth1 -j SNAT --to-source 203.0.113.10
• 确保内核开启转发：echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward，并写入 /etc/sysctl.conf

检查容器网络模式与路由继承逻辑

不同网络模式下，容器对宿主机路由的依赖程度不同：

• bridge 模式：容器通过 docker0 网桥 + NAT 访问外网，完全依赖宿主机的默认路由和 iptables 规则
• host 模式：容器直接复用宿主机网络栈，此时容器内 ip route 与宿主机一致，多网卡路由问题会原样暴露
• 自定义 bridge 网络：仍走 NAT，但网桥 IP 可独立配置；务必避免其 subnet 与任一物理网段重叠

建议生产环境优先使用自定义 bridge 网络，并显式指定 --subnet 和 --gateway，不依赖默认行为。