在 Docker 环境中部署元数据代理（如 EC2 IAM 凭据代理）时，若代理自身也运行于容器内，默认网络模式会导致原始请求的源 IP 被替换为 docker0 网桥地址；使用 --net=host 可让代理直接复用宿主机网络栈，从而准确识别调用容器的真实 IP。
在 docker 环境中部署元数据代理（如 ec2 iam 凭据代理）时，若代理自身也运行于容器内，默认网络模式会导致原始请求的源 ip 被替换为 `docker0` 网桥地址；使用 `--net=host` 可让代理直接复用宿主机网络栈，从而准确识别调用容器的真实 ip。
当构建基于容器的 IAM 角色隔离方案（例如通过拦截 http://169.254.169.254 元数据服务）时，一个关键挑战是：代理服务必须能准确识别发起请求的源容器 IP 地址，以便查询其环境变量（如 IAM_ROLE）并返回对应角色凭证。然而，在标准 Docker 桥接网络下，iptables DNAT 规则将请求重定向至代理容器端口后，经过 Docker 内部 NAT 和端口映射（如 -p 18000:18000），原始 TCP 连接的 RemoteAddr 将丢失真实客户端 IP，仅显示为 docker0 接口地址（如 172.17.0.1），导致无法区分 containerA（172.17.0.7）与 containerB（172.17.0.8）。
根本原因在于：Docker 默认的桥接网络（bridge）会在宿主机上引入额外的网络层（docker-proxy 或 iptables + conntrack），使入站连接的源地址被 SNAT 或代理中转覆盖。即使 iptables 在 PREROUTING 链完成 DNAT，后续流量进入容器时仍需经由 Docker 的用户态代理或内核级转发路径，最终暴露给应用的 socket 对端地址已非原始容器 IP。
✅ 正确解法：启用 --net=host 模式启动代理容器
该模式使容器跳过 Docker 网络命名空间隔离，直接共享宿主机的网络协议栈。此时：
- iptables DNAT 规则（目标 169.254.169.254:80 → ${HOST_IP}:18000）生效后，连接直接抵达宿主机 lo 或 eth0 上的 18000 端口；
- 代理进程（运行于 host 网络容器中）通过 Accept() 获取的 net.Conn.RemoteAddr() 即为真实调用容器的 IP（如 172.17.0.7:34291），无需额外解析；
- 同时仍可挂载 /var/run/docker.sock 访问 Docker API，结合 IP 查询容器元数据（如 docker inspect 获取 NetworkSettings.Networks.bridge.IPAddress 或环境变量）。
示例启动命令：
docker run -d \ --name ec2-metadata-proxy \ --net=host \ -v /var/run/docker.sock:/var/run/docker.sock \ -e PROXY_PORT=18000 \ dump247/ec2-metadata-proxy
⚠️ 注意事项：
- --net=host 意味着容器内服务端口（如 18000）直接绑定在宿主机网络接口上，需确保端口未被占用，且避免与其他服务冲突；
- 该模式下容器失去网络隔离性，不适用于多租户或安全敏感场景（但元数据代理本身属基础设施组件，通常可接受）；
- CoreOS 等轻量发行版默认支持 host 网络，无需额外配置；若使用 Docker Desktop 或某些 Kubernetes 环境，需确认 host 网络可用性；
- 替代方案（如 --network=container:<another> 或 macvlan）复杂度高、兼容性差，host 模式是当前最简洁可靠的工程解。
总结：在需要精确感知下游容器网络身份的代理类服务中，--net=host 不仅是绕过 Docker 网络抽象层的有效手段，更是保障元数据路由语义正确性的必要设计选择。它以最小侵入性代价，恢复了传统主机代理的可观测性能力，是云原生 IAM 细粒度授权架构中的关键一环。
