--entrypoint 是 podman/docker 中覆盖镜像默认 entrypoint 的核心选项，优先级最高，可完全绕过原有启动逻辑，用于调试、网络配置或执行多步初始化命令。

直接在容器启动时配置内部网络转发规则，关键是在容器真正运行服务前执行 ip route 或 sysctl 命令。这不是改宿主机，也不是靠 docker 自动桥接，而是让容器一进来就自带正确的路由或内核参数。

用 --entrypoint 覆盖默认入口并执行多条命令

这是最常用、最轻量的方式，适合调试或简单场景。Docker 会把整个命令字符串交给 shell 执行：

• 让发往 192.168.50.0/24 的流量走网关 172.18.0.254：
  docker run --entrypoint sh nginx -c "ip route add 192.168.50.0/24 via 172.18.0.254 dev eth0 && nginx -g 'daemon off;'"
• 如果还要同时开启内核转发（比如容器要当网关）：
  docker run --entrypoint sh ubuntu -c "sysctl -w net.ipv4.ip_forward=1 && ip route add 10.10.20.0/24 via 172.17.0.1 && tail -f /dev/null"

通过自定义启动脚本固化配置

比一行命令更可靠，尤其适合长期运行的容器。做法是写一个 shell 脚本，在里面依次执行网络设置和主程序：

• 脚本内容示例（start.sh）：
  

  #!/bin/sh<br>ip route add 192.168.60.0/24 via 172.18.0.253<br>sysctl -w net.ipv4.conf.all.arp_ignore=0<br>exec "$@"

• 启动时挂载并指定：
  docker run -v $(pwd)/start.sh:/start.sh ubuntu sh /start.sh nginx -g 'daemon off;'

确保容器具备执行权限和必要工具

不是所有镜像都预装 ip 或支持 sysctl，需提前确认或选择合适基础镜像：

• 精简镜像（如 alpine）默认没有 iproute2，要加装：apk add iproute2
• 某些 distroless 镜像完全不带 shell 和网络工具，无法运行 ip route，应避免使用
• 检查容器是否以 特权模式或 --cap-add=NET_ADMIN 启动——添加路由和修改内核参数都需要该能力

验证配置是否生效

容器启动后立刻进容器检查，别等出问题才查：

• 看路由表：ip route show，确认目标网段已存在且下一跳正确
• 测网关连通性：ping -c 3 172.18.0.254
• 查内核参数：cat /proc/sys/net/ipv4/ip_forward，输出必须是纯数字 1