docker 27默认禁用host网络模式以满足等保2.0和gdpr要求，需通过daemon.json白名单、docker info验证及容器审计确认合规性，并提供bridge映射等安全替代方案。
直接检查 Docker 主机网络模式是否合规，核心是确认它是否被禁用或严格管控——因为 host 网络模式会绕过容器网络隔离机制，使容器共享宿主机网络命名空间，严重违反等保2.0“网络分区分域”和GDPR“最小化暴露面”要求。
确认 host 模式是否被禁止
在 Docker 27 及以上版本中，强制网络隔离策略默认禁止 host 模式，除非显式启用白名单。检查方法如下：
- 查看 daemon.json 配置：运行 cat /etc/docker/daemon.json，确认是否存在 "host-network-override": ["allowed-host-ip"] 这类白名单字段；若无该配置，host 模式即被拒绝
- 验证策略生效：执行 docker info | grep -i "network isolation"，输出应包含 NetworkIsolationPolicy: strict
- 尝试启动 host 模式容器：运行 docker run --network=host nginx:alpine，应返回错误（如 Error response from daemon: host network mode is disabled by policy）
排查历史或遗留容器是否使用 host 模式
即使策略已启用，仍需审计存量容器，防止旧配置残留：
- 列出所有正在运行且使用 host 网络的容器：docker ps --filter "network=host" --format "{{.ID}} {{.Names}} {{.Status}}"
- 检查容器详细网络配置：docker inspect -f '{{.HostConfig.NetworkMode}}'
，结果为 host 即违规 - 重点核查监控类、日志采集类、Agent 类容器——它们常因调试便利误用 host 模式
替代方案是否满足业务与合规双重要求
禁用 host 模式后，需提供安全可用的替代路径：
- 对需要访问宿主机端口的服务（如 Prometheus 抓取 node_exporter），改用 --network=bridge + -p 9100:9100 映射，而非共享整个网络栈
- 对需调用宿主机 systemd 或 dbus 的场景，通过 --volume /run:/run:ro 挂载必要套接字，避免全量网络共享
- 确保存储驱动（如 overlay2）和 cgroup v2 已启用，保障网络策略能在内核级生效，不被用户态绕过
日志与审计必须覆盖网络模式变更行为
仅禁用不等于可审计。合规要求记录“谁、何时、为何”试图启用 host 模式：
- 确保 auditd 已监控 dockerd 和 docker.sock：auditctl -w /usr/bin/dockerd -p x -k docker_exec 和 auditctl -w /var/run/docker.sock -p wa -k docker_socket
- 检查 audit 日志中是否捕获到 syscall=socket 或 comm=docker 且 args="--network=host" 的失败调用记录
- 失败请求虽被拦截，但必须留痕——这是等保 8.1.4 条款“操作结果”和“操作类型”的刚性要求
