核心是避开宿主机物理网段选冷门私有子网并显式指定网关，如docker network create --subnet=172.20.0.0/16 --gateway=172.20.0.1 mybridge，确保网关ip不与内网冲突且路由隔离。
配置自定义网桥的网关 IP 地址，核心是确保它不与宿主机物理网卡所在内网网段重叠，否则容器会因路由混乱无法访问内网或外网。关键不在“设网关”，而在“选对网段”和“隔离路由路径”。
一、先确认物理内网网段范围
这是所有操作的前提。在宿主机上运行：
-
Windows：打开命令提示符，执行
ipconfig，找到你连接单位局域网或公司内网的网卡（比如以太网适配器），记下 IPv4 地址和子网掩码（如 10.168.163.5 / 255.255.255.0）→ 对应网段就是 10.168.163.0/24 -
Linux/macOS：终端中运行
ip a或ifconfig，定位内网接口（如eth0或en0），提取其 IP 和掩码，换算出网段（例如192.168.1.100/24→ 网段为 192.168.1.0/24）
这个网段绝对不能被用作 Docker 自定义网桥的子网，否则网关 IP（如 192.168.1.1）会和你公司的路由器或核心交换机地址撞车。
二、为自定义网桥选择安全网段并指定网关
Docker 创建网桥时，网关 IP 默认取子网的第一个可用地址（如 172.18.0.1）。你只需显式避开冲突网段即可：
- 推荐使用私有保留网段中的“冷门区间”，例如：
172.20.0.0/16、10.200.0.0/16、192.168.200.0/24 —— 这些极少被企业内网采用，冲突概率极低 - 创建命令示例（Linux/macOS）：
docker network create --subnet=172.20.0.0/16 --gateway=172.20.0.1 mybridge
此处172.20.0.1就是该网桥的网关 IP，它只对容器生效，与宿主机内网完全隔离 - Windows Docker Desktop 同样支持该命令；若用 Docker Compose，可在
networks下写：mybridge:driver: bridgeipam:config:- subnet: 172.20.0.0/16gateway: 172.20.0.1
三、验证是否真正隔离
创建后别急着跑容器，先做两件事确认无冲突：
- 运行
docker network inspect mybridge，检查IPAM.Config中的Subnet和Gateway是否符合预期，且Gateway不在你物理内网网段内 - 启动一个临时容器：
docker run --rm --network=mybridge alpine ping -c 2 172.20.0.1→ 应成功（容器能通自己网桥网关）docker run --rm --network=mybridge alpine ping -c 2 10.168.163.1→ 若你内网网关是这个，也应能通（说明容器可通过宿主机转发访问内网）docker run --rm --network=mybridge alpine ping -c 2 8.8.8.8→ 应能通（说明外网通）
如果容器能通内网网关但不通外网，说明宿主机 NAT 或 iptables 规则未放行；如果内网也不通，检查宿主机是否禁用了 IP 转发（Linux 需 sysctl net.ipv4.ip_forward=1）。
四、特殊情况：宿主机需直连容器服务
若你希望从内网其他机器（比如同事电脑）直接访问容器提供的服务（如 Web），注意：
- 容器默认绑定在自定义网桥上，其 IP（如
172.20.10.3）对内网不可见——这不是 bug，是设计使然 - 正确做法是：在宿主机上用
docker run -p映射端口（如-p 8080:80），然后内网设备访问宿主机IP:8080；不要尝试把容器 IP 加静态路由到内网交换机 - 若真要容器 IP 可路由，请改用
macvlan或ipvlan网络驱动，让容器获得与宿主机同网段的真实 IP（但需交换机配合，且失去 Docker 网络隔离优势）
