企业级docker网络配置核心是按安全边界分层设计：前端、应用、数据服务分别接入独立bridge网络（如frontend-net、app-net、data-net），敏感组件用none或host模式精准控制，跨主机通信强制overlay+swarm/k8s策略，并联动nftables等防火墙实现纵深防御。
企业级 Docker 网络配置的核心，不是堆砌功能，而是按安全边界分层设计：哪些服务必须隔离、哪些需跨主机互通、哪些要直通宿主性能关键路径。关键在于用对网络模式组合，而非单点优化。
按业务域划分独立 bridge 网络
避免所有容器挤在默认 bridge 网络中——它缺乏策略控制且易受 IP 冲突影响。应为不同安全等级的业务创建专属桥接网络：
- 前端服务（如 Nginx、React SSR）接入
frontend-net，仅开放 80/443 端口映射到主机 - 应用服务（Java/Python 后端）接入
app-net，禁止端口映射，仅允许通过内部 DNS 名称调用 - 数据库与缓存（MySQL、Redis）接入
data-net，不暴露任何端口，也不连接外部网络 - 创建命令示例：
docker network create --driver bridge --subnet=10.10.10.0/24 frontend-net
敏感组件启用 none 或 host 模式精准控制
不是所有容器都需要完整网络栈。安全审计、日志采集等辅助容器，应严格限制网络能力：
- 审计容器（如 Falco、Sysdig）用
--network none，仅保留lo接口，完全阻断网络出入 - 监控代理（如 Prometheus Node Exporter）用
--network host，直接复用宿主机网络，避免虚拟网桥开销，同时便于采集主机指标 - 注意：
host模式下容器端口与宿主冲突需提前规划，建议统一使用非标准端口（如 9100→9101）
跨主机通信强制使用 overlay + Swarm/K8s 策略
单机 bridge 无法满足多节点微服务架构。企业级跨主机网络必须基于 overlay 驱动，并绑定编排系统策略：
- 启用 Swarm 并初始化：
docker swarm init --advertise-addr 192.168.5.10（指定内网管理 IP） - 创建加密 overlay 网络：
docker network create -d overlay --opt encrypted backend-overlay - 部署服务时指定网络和约束标签：
docker service create --network backend-overlay --constraint 'node.labels.env==prod' mysql:8.0 - 配合
ingress网络做统一入口，但后端服务间通信走 overlay，不经过 ingress 路由，降低延迟与单点风险
网络策略与防火墙联动加固
Docker 内置网络隔离是基础，需与主机级防火墙协同形成纵深防御：
- 禁用默认 iptables 规则干扰：
"iptables": false加入/etc/docker/daemon.json，改由管理员统一管控 - 用
nftables设置全局规则：只允许app-net访问data-net的 3306/6379 端口，拒绝反向连接 - 对
frontend-net容器添加限速规则：nft add rule ip filter forward meta iifname "br-xxxx" tcp dport 80 limit rate 100/second - 定期导出容器网络拓扑：
docker network inspect frontend-net | jq '.[0].Containers'，纳入 CMDB 审计
