怎么配置 Docker 容器使用指定的网关接口执行跨网段扫描教程-Docker-PHP中文网

要让docker容器跨网段扫描，关键是确保容器具备通往目标网段的真实三层可达路径，需结合自定义bridge网络、宿主机静态路由、ip转发及防火墙配置；macvlan模式可支持arp等二层扫描，但依赖物理网卡混杂模式支持。

怎么配置 docker 容器使用指定的网关接口执行跨网段扫描教程

要让 Docker 容器通过指定网关接口执行跨网段扫描（比如用 nmap、arp-scan 或 NetAlertX 等工具探测非宿主机所在子网的设备），关键不是“在容器里改默认路由”，而是**让容器拥有通往目标网段的真实三层可达路径**——这通常需结合自定义网络、静态路由、宿主机转发或桥接配置来实现。直接用 --gateway 参数无法绕过底层网络拓扑限制。

明确网关作用与常见误区

Docker 的 --gateway 仅在创建用户定义 bridge 网络时生效，且它定义的是该网络内所有容器的**默认出口网关 IP**（即路由表中的 default via X.X.X.X）。但它不等于“让容器能访问任意网段”——若宿主机本身不路由、不转发、或物理网络不连通，容器仍无法到达目标网段。

例如：
– 宿主机在 192.168.1.0/24，目标扫描网段是 10.0.5.0/24；
– 即使你给容器配了网关 192.168.1.1（路由器地址），也必须确保：
✓ 该路由器已开启对 10.0.5.0/24 的路由（或直连）；
✓ 宿主机未拦截转发（net.ipv4.ip_forward=1）；
✓ 防火墙放行相关 ICMP/TCP 流量。

推荐方案：用自定义 bridge 网络 + 宿主机路由转发

这是最可控、无需额外工具（如 Pipework）的通用方法：

Dolphindb Docker

自动化 DolphinDB Docker 部署，支持自动架构检测（ARM64/x86_64），智能内存分配（50% 规则）以及完整数据持久化。

下载

创建一个带指定子网和网关的自定义 bridge 网络：
docker network create --subnet=172.20.0.0/24 --gateway=172.20.0.1 my-scan-net
运行扫描容器并固定 IP，加入该网络：
docker run -it --rm --network=my-scan-net --ip=172.20.0.10 -v $(pwd):/data networkstatic/nmap nmap -sn 10.0.5.0/24
在宿主机上添加一条静态路由，指向目标网段经由真实网关：
sudo ip route add 10.0.5.0/24 via 192.168.1.1 dev eth0
（其中 192.168.1.1 是你局域网出口路由器，eth0 是宿主机连接该网络的网卡）
启用宿主机 IPv4 转发（临时）：
sudo sysctl -w net.ipv4.ip_forward=1
确认宿主机防火墙允许转发（如 firewalld）：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" forward-port port="0-65535" protocol="tcp" to-port="0-65535" to-addr="10.0.5.0"' && sudo firewall-cmd --reload
（实际按需开放 ICMP/端口扫描协议）

进阶：容器直通物理网卡（host 模式 + macvlan）

若需更接近真实主机的扫描行为（如 ARP 扫描、MAC 地址发现），bridge 模式有局限（ARP 请求不出 docker0）。此时可考虑：

用 macvlan 网络让容器获得物理网段的独立 IP：
docker network create -d macvlan --subnet=192.168.1.0/24 --gateway=192.168.1.1 -o parent=eth0 my-macvlan
运行容器并指定 IP（必须在宿主机同网段）：
docker run -it --rm --network=my-macvlan --ip=192.168.1.100 networkstatic/nmap arp-scan --interface=eth0 10.0.5.0/24
注意：macvlan 要求宿主机网卡支持混杂模式，且交换机需允许多 MAC；某些云服务器或虚拟化平台可能禁用此功能。