企业级docker网络需从拓扑隔离、访问控制、通信审计三层面落地：创建按业务域划分的自定义bridge网络并禁用snat，配合iptables策略与macvlan/nac对接，注入标签并启用conntrack日志实现可溯源管控。
要让 Docker 网络真正适配企业内网的安全准入策略，不能只靠默认配置，得从网络拓扑、访问控制、通信审计三个层面同步落地。核心不是“能不能通”，而是“谁在什么条件下、以什么方式、访问了什么”。
划分逻辑隔离的自定义桥接网络
企业内网通常按业务域（如应用、数据库、中间件）或租户划分安全边界。Docker 默认 bridge 网络不满足这一要求——所有容器在同一 docker0 网桥下默认全通，违反最小权限原则。
- 为每个业务域创建独立 bridge 网络，并显式指定 CIDR 和网关，例如：
docker network create --driver bridge --subnet 10.200.10.0/24 --gateway 10.200.10.1 app-tierdocker network create --driver bridge --subnet 10.200.20.0/24 --gateway 10.200.20.1 db-tier - 启动容器时强制绑定到对应网络：
docker run -d --name user-service --network app-tier nginxdocker run -d --name mysql-prod --network db-tier mysql:8.0 - 两个网络之间无三层路由路径，天然隔离；即使未启用防火墙，也无法 ping 通或建立 TCP 连接。
禁用默认 SNAT 并启用主机级 iptables 控制
企业安全策略常要求网络行为可审计、可溯源。Docker 默认开启 IP 伪装（SNAT），导致容器出向流量统一显示为宿主机 IP，掩盖真实源地址，不符合日志审计要求。
- 创建网络时关闭 masquerade：
docker network create --driver bridge --subnet 172.19.0.0/16 --opt "com.docker.network.bridge.enable_ip_masquerade=false" --gateway 172.19.0.1 secure-app-net - 配合 host 级 iptables 规则，对跨网段通信做显式放行或拒绝：
iptables -A FORWARD -i br-xxxx -o br-yyyy -j DROPiptables -A FORWARD -i br-xxxx -o br-yyyy -s 172.19.1.0/24 -d 172.19.2.100 -p tcp --dport 3306 -j ACCEPT - 规则需持久化（如使用 iptables-save），并纳入企业统一防火墙纳管流程。
对接企业现有网络准入机制
单纯容器网络隔离不够，还需与企业已有的 802.1X 认证、NAC（网络访问控制）系统或零信任网关联动。
- 对有合规要求的服务（如含敏感数据的 API 容器），改用 macvlan 驱动直连物理网络：
docker network create -d macvlan --subnet=10.10.50.0/24 --gateway=10.10.50.1 -o parent=eth0 --ip-range=10.10.50.100/28 corp-macvlan
这样容器获得真实 MAC 和 IP，可被交换机端口策略识别并执行 802.1X 或动态 VLAN 分配。 - 若使用 overlay 网络（如 Docker Swarm 或接入 K8s CNI），启用 TLS 加密传输和证书双向认证，确保跨节点流量受控且不可嗅探。
- 所有容器启动时注入标准标签（如
--label sec.domain=finance、--label env=prod），便于后续通过 CNI 插件（如 Calico）或 eBPF 工具基于标签实施细粒度策略。
强化日志与连接追踪能力
安全准入不仅是“拦住”，更是“看清”。企业通常要求网络连接行为留痕，支持事后回溯与威胁分析。
- 启用容器网络连接日志：在 dockerd 启动参数中加入
--log-driver=local --log-opt mode=non-blocking --log-opt max-size=10m --log-opt max-file=5，并确保日志落盘路径受 SIEM 系统采集。 - 对关键服务容器启用 conntrack 日志：
echo 'nf_conntrack_log_sysctl=1' >> /etc/sysctl.conf && sysctl -p
再结合conntrack -E或 eBPF 工具（如 bpftool）捕获实时连接事件，输出含源/目标 IP、端口、协议、状态等字段。 - 将容器网络元数据（网络名、子网、关联容器标签）同步至 CMDB 或资产平台，实现网络拓扑与安全策略的联动更新。
