推荐使用用户自定义桥接网络实现跨容器通信，它支持dns解析、ip隔离和端口隔离；创建命令为docker network create --driver bridge --subnet=172.20.0.0/16 --gateway=172.20.0.1 my-bridge-net；容器需加入同一网络才能通过服务名通信。
自定义网络协议本身不依赖 Docker Compose 的网络配置——Docker 网络层只负责 IP 层及以下（如 TCP/UDP 传输），上层协议（比如自定义二进制协议、gRPC-Web、MQTT-SN、私有 RPC）由应用进程自行实现和监听。真正需要配置的是：如何让这些协议在容器间或对外可靠通信。关键在于网络拓扑、端口暴露、DNS 解析与隔离策略，而非“配置协议”。
明确协议通信方式再选网络模式
先确认你的自定义协议运行在哪一层：
- 基于 TCP/UDP（如自研消息中间件、设备直连协议）→ 使用 bridge 或自定义 bridge 网络，确保端口映射或容器内端口开放
- 需绕过 Docker 网络栈（如协议强依赖 host 网络命名空间、绑定特定网卡或使用 AF_PACKET）→ 显式设置 network_mode: host
- 跨主机集群部署且协议需服务发现支持（如分布式共识协议）→ 必须用 overlay 网络（需 Swarm 模式）
- 仅内部调用、无外部访问需求（如后台协议解析器与存储模块通信）→ 用 独立自定义 bridge 网络 + 不映射端口，提升安全性
用自定义 bridge 网络保障内部协议通信
这是最常用也最推荐的方式。它提供内置 DNS（服务名可直接解析）、IP 隔离、子网可控，适合绝大多数自定义协议场景。
示例：一个采集代理（collector）通过私有 TCP 协议上报数据给聚合服务（aggregator）：
version: '3.8'
services:
collector:
image: myorg/collector:v1
networks:
- protocol-net
# 不映射端口：仅内部通信
aggregator:
image: myorg/aggregator:v1
ports:
- "9090:9090" # 可选：仅当需外部调用聚合结果时开放
networks:
- protocol-net
<p>networks:
protocol-net:
driver: bridge
ipam:
config:</p>
- subnet: 172.22.0.0/24
gateway: 172.22.0.1
此时
collector内代码可直接连接tcp://aggregator:9090，Docker DNS 自动解析为对应容器 IP。
多网络接入实现协议分层与安全隔离
若协议涉及不同安全等级（例如：设备接入层用私有协议，管理接口走 HTTPS），应拆分网络，避免越权通信：
- 创建
device-net：专供采集端与协议网关通信（仅允许 TCP 5001） - 创建
admin-net：供运维界面、监控服务访问网关的 REST 管理端口（TCP 8080） - 让网关服务同时接入两个网络，充当中继节点
配置节选：
services:
gateway:
image: myorg/protocol-gateway:v2
networks:
device-net:
ipv4_address: 172.23.0.10
admin-net:
ipv4_address: 172.24.0.10
<p>device-client:
image: myorg/device-simulator
networks:</p>
- device-net
admin-ui: image: nginx:alpine ports: ["8081:80"] networks:
- admin-net
networks: device-net: driver: bridge ipam: { config: [{ subnet: "172.23.0.0/24" }] } admin-net: driver: bridge ipam: { config: [{ subnet: "172.24.0.0/24" }] }
这样，device-client 无法直接访问 admin-ui，协议流量被严格约束在指定平面。
必要时启用 host 模式或外部网络
仅在以下情况考虑 network_mode: host：
- 协议必须绑定宿主机特定网卡（如 eth1）或特定 IP（非容器虚拟 IP）
- 需使用 RAW socket、netfilter、eBPF 等底层网络能力
- 性能敏感且无法接受 bridge NAT 开销（如高频实时流协议）
注意：host 模式下 ports 字段失效，容器共享宿主机端口空间，多个服务不能共用同一端口；且失去服务名 DNS 解析能力（需用 host.docker.internal 或宿主机 IP）。
若已有物理网络规划（如已存在 VLAN 或 SDN 网络），可用 external: true 接入现有 Docker 网络：
networks:
legacy-proto-net:
external: true
name: "vlan100-proto"
然后在服务中引用该网络名，复用已有基础设施。
