docker bridge网络默认不能与局域网设备互通，因容器ip（如172.17.0.x）为本地私有地址；容器访问局域网设备默认可行（依赖宿主机路由），而局域网访问容器必须通过端口映射或iptables转发实现。
Docker 的 Bridge 网络默认**不能直接与宿主机所在局域网中的其他设备通信**，因为容器 IP（如 172.17.0.x）属于私有、仅本地有效的地址段，不被局域网内其他设备路由识别。要实现容器 ↔ 局域网设备互通，核心思路是让局域网设备“能访问到容器”，或让容器“能主动访问局域网设备”——二者路径不同，需分别处理。
容器访问局域网设备（出向通信）
这是默认支持的场景：只要宿主机本身能访问局域网设备（比如能 ping 通 192.168.1.100），Bridge 模式下的容器通常也能直接访问，无需额外配置。
- 原理：容器发出的数据包经
docker0网桥 → 宿主机内核 → 由宿主机的默认路由转发至物理网卡，再进入局域网 - 验证方式：进容器执行
ping 192.168.1.100或curl http://192.168.1.100:8080 - 常见失败原因：宿主机防火墙拦截（如
ufw或iptables规则拒绝 FORWARD 链）、容器内缺少对应工具（如无ping或curl）
局域网设备访问容器服务（入向通信）
这是默认**不支持**的，必须显式打通。关键在于：局域网设备无法直接路由到容器 IP，所以需借助宿主机做中转。
-
方法一：端口映射（推荐，最常用）
启动容器时用-p将容器端口映射到宿主机端口，再确保宿主机防火墙放行该端口，并允许局域网访问该宿主机 IP：docker run -d --name web -p 192.168.1.50:8080:80 nginx
之后局域网任意设备访问http://192.168.1.50:8080即可到达容器 -
方法二：配置宿主机 iptables 转发（更灵活）
若需透传源 IP 或处理非标准端口，可在宿主机添加 DNAT + SNAT 规则，例如将发往宿主机192.168.1.50:80的请求转发至容器172.17.0.3:80，同时开启ip_forward - 注意：不要改 docker0 的 IP 地址范围去“适配”局域网——这会破坏 Docker 内部网络管理，且仍无法解决 ARP 和路由问题
使用自定义 bridge 网络提升可控性
相比默认 bridge，自定义 bridge（如 my-net）可指定子网，避免与局域网冲突，并方便统一管理：
- 创建时避开局域网网段，例如：
docker network create --driver bridge --subnet 10.10.20.0/24 --gateway 10.10.20.1 my-net - 容器加入后，仍需通过上述端口映射或 iptables 方式暴露服务给局域网
- 优势在于：网络隔离更强、支持容器名解析、便于后续扩展（如对接外部 DNS 或监控）
替代方案：host 模式（慎用）
若只是临时调试且对安全性要求不高，可用 --network host 让容器直接使用宿主机网络栈：
- 容器监听的端口即为宿主机端口，局域网设备可直连宿主机 IP + 端口
- 缺点：失去网络隔离、多个容器不能共用同一端口、无法使用 Docker 内置 DNS 和服务发现
- 不适用于生产环境多容器并存的场景
