必须使用macvlan网络模式，它让容器成为直连交换机的真实设备，拥有独立mac和同网段ip；需绑定up状态物理网卡、配置匹配子网/网关、静态分配ip，并添加shim接口实现宿主机访问。
要让Docker容器直接获得局域网中与宿主机同段的独立物理IP，绕过NAT和docker0网桥，必须使用macvlan网络模式——它不是转发流量，而是让容器在二层网络中成为一台真实插在交换机上的设备，拥有自己的MAC地址和可被全网直连的IP。
确认物理网卡与局域网参数
先查出正在使用的有线网卡名并验证其状态：执行 ip link show，找到状态为 UP 的真实物理接口（如 enp0s3、eth0 或群晖的 ovs_eth0），【不能选 docker0、lo、wlan0 或 bond 接口】。
运行 ip addr show enp0s3（把 enp0s3 替换为你查到的网卡名），记下三项关键信息：当前IP（如 192.168.1.10/24）、子网掩码对应的网段（即 192.168.1.0/24）、默认网关（如 192.168.1.1）。
这三者将决定后续所有配置的合法性；填错子网或网关会导致容器无法上网、无法被访问。
创建macvlan自定义网络
用 docker network create 命令绑定物理网卡并声明网络拓扑：
第一步：执行以下命令（按你实际环境替换参数）：
docker network create -d macvlan \<br> --subnet=192.168.1.0/24 \<br> --gateway=192.168.1.1 \<br> --ip-range=192.168.1.128/25 \<br> -o parent=enp0s3 \<br> my-lan-net
其中 --ip-range=192.168.1.128/25 表示容器可用 IP 范围是 192.168.1.128–192.168.1.254，刻意避开宿主机 IP（192.168.1.10）和网关（192.168.1.1），避免地址冲突。
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
第二步：验证是否创建成功：docker network inspect my-lan-net
检查输出中 Subnet、Gateway、Parent 字段是否与你预期完全一致。
启动容器并分配静态IP
Macvlan 不提供 DHCP 服务，必须显式指定 IP 地址，且该地址必须落在 --subnet 范围内、未被其他设备占用。
方法一（基础运行）：docker run -d --name web-app --network=my-lan-net --ip=192.168.1.150 nginx:alpine
方法二（带 MAC 地址控制）：docker run -d --name db-server --network=my-lan-net --ip=192.168.1.151 --mac-address=02:42:c0:a8:01:97 mysql:8
MAC 地址首字节必须为偶数，不能以 00:00:00 开头，否则容器启动失败。
启动后，局域网内任意设备（包括手机、笔记本）都能直接访问 http://192.168.1.150，无需端口映射，也不经过宿主机 iptables。
让宿主机也能访问容器
默认情况下，宿主机 ping 不通 macvlan 容器 IP，这是 Linux 内核设计使然，并非配置错误。
执行以下三条命令（注意把 enp0s3 替换为你的真实网卡名）：ip link add macvlan-shim link enp0s3 type macvlan mode bridgeip addr add 192.168.1.250/32 dev macvlan-shimip link set macvlan-shim up
现在宿主机就能直接 ping 192.168.1.150，也能用 curl、浏览器等工具访问容器服务。
如果仍不通，补加路由：ip route add 192.168.1.128/25 dev macvlan-shim
