容器通过连接多个docker网络实现多网卡效果，每个网络对应一个虚拟以太网接口（如eth0、eth1）并分配ip；推荐使用自定义bridge网络进行业务隔离，避免默认bridge；支持运行时动态连接网络（docker network connect），并在docker-compose.yml中声明式定义多网络以实现服务间安全隔离。
容器本身不直接“配置多个网卡”，而是通过连接多个 Docker 网络来实现等效的多网络接口效果。每个接入的网络，Docker 会在容器内自动创建一个对应网络命名空间中的虚拟以太网接口（如 eth0、eth1），并分配 IP，从而达成业务隔离、流量分路和跨网段通信的目标。
用自定义 bridge 网络实现业务逻辑隔离
这是最常用也最推荐的方式。不同业务域（如前端访问、后端服务、数据库连接）应划分到独立的自定义 bridge 网络中，避免使用默认 bridge 网络——它缺乏内置 DNS 解析、IP 固定能力弱，且所有容器默认互通，不符合隔离要求。
- 为 Web 层创建
frontend网络：用于承载用户请求入口 - 为 API/应用层创建
backend网络：连接内部服务与中间件 - 为数据层创建
database网络：仅允许授权服务（如 API 容器）接入 - 创建时指定子网（如
--subnet 172.20.0.0/16）可避免 IP 冲突，也便于后续路由或防火墙策略管理
运行时动态添加网络（无需重启容器）
容器启动后，可以随时用 docker network connect 命令将其加入新网络。这对灰度迁移、临时调试或权限变更非常实用。
- 先启动容器并只连一个网络：
docker run -d --name app --network frontend nginx - 再让它接入后端网络：
docker network connect backend app - 此时容器内会多出一个
eth1接口，自动获得backend网络的 IP（如172.21.0.3） - 可通过
docker exec app ip addr查看两个接口，用ping或curl验证跨网通信是否生效
在 docker-compose.yml 中声明式定义多网络
适合微服务架构，清晰表达服务间通信边界，天然支持网络隔离策略。
- 在
networks顶层定义多个网络（如frontend、backend） - 为每个服务指定
networks:列表，例如api同时接入两者，web只接frontend，db只接backend - Docker Compose 自动处理网络创建、容器连接、DNS 名称解析（如
db在backend网络中可被api直接 ping 通） - 服务之间无法跨网络直接通信（如
webpingdb会失败），这是设计上的安全隔离，不是故障
不建议手动操作 veth 或 ip link 添加网卡
虽然技术上可行（如用 ip link add 创建 eth1），但这类操作绕过 Docker 网络管理层，容易导致：
- IP 地址未被 Docker 管理，重启或重建容器后丢失
- 缺失 DNS 解析、网络策略（如 iptables 规则）、健康检查支持
- 无法被
docker network inspect或docker-compose正确识别和维护 - 在 Swarm 或 Kubernetes 等编排平台中完全不兼容
