Docker容器网络隔离通过--network参数选择bridge、none、host或container模式实现命名空间控制；配合自定义bridge网络、nsenter操作netns及--cap-drop=NET_RAW等安全配置达成深度隔离。

在 Docker 中配置容器的网络隔离策略，核心是控制容器是否拥有独立的网络命名空间（netns），以及如何限制它与其他容器、宿主机或外部网络的通信路径。这不是靠单一命令完成的，而是通过选择网络模式、自定义网络、配合 Linux 工具（如 ip netns、iptables）和运行时安全配置共同实现。

明确网络模式决定隔离强度

网络命名空间的创建与否，由启动容器时指定的 --network 参数直接控制：

• bridge（默认）：自动为容器创建全新 network namespace，分配独立 IP（如 172.17.0.x）、veth 设备、路由表和 iptables 规则。容器间可通过内部 IP 互通，但与宿主机网络逻辑分离。
• none：容器仍拥有独立 network namespace，但不配置任何网络设备（仅保留 lo）。完全断网，适合离线批处理任务。
• host：容器不创建新 network namespace，直接复用宿主机的网络栈。无隔离，端口直通，性能高但风险大。
• container:：新容器共享指定容器的 network namespace，两者 IP、端口、socket 表完全一致，仅进程和文件系统隔离。

用自定义 bridge 网络增强策略可控性

默认的 docker0 网桥缺乏服务发现和细粒度访问控制。推荐使用用户定义 bridge 网络：

Docker Desktop 4.96.1

下载

• 创建隔离子网：docker network create --driver bridge --subnet=192.168.100.0/24 isolated-net
• 容器加入该网络后，自动获得 DNS 解析（容器名即主机名），且默认禁止跨网络通信。
• 可进一步用 docker network connect 或 disconnect 动态调整容器所属网络，实现运行时网络拓扑变更。

手动操作 netns 实现深度定制

当需要调试、注入策略或模拟复杂拓扑时，可直接操作底层 netns：

• 查看容器的 netns 路径：ls -l /proc//ns/net（先用 docker inspect -f '{{.State.Pid}}' 获取 PID）
• 进入容器 netns 执行命令：nsenter -t -n ip addr 或 nsenter -t -n iptables -L
• 添加自定义路由或防火墙规则：nsenter -t -n ip route add 10.0.0.0/8 via 172.17.0.1

结合 seccomp 和 capabilities 限制网络能力

命名空间提供“隔离”，但不阻止容器内进程滥用网络系统调用。需补充运行时限制：

• 禁用原始套接字（防 ARP 欺骗、端口扫描）：--cap-drop=NET_RAW
• 加载最小化 seccomp 配置，屏蔽 bind、connect、setsockopt 等敏感调用（适用于只读或纯计算型容器）
• 搭配 --read-only 和 --tmpfs 可进一步缩小攻击面