Docker容器默认通过IP伪装（MASQUERADE）实现外网访问，即自动将172.17.0.0/16等子网的出站流量源IP替换为宿主机出口IP，由内核NAT机制自动还原返回流量。
Docker 容器默认就能通过宿主机的 IP 实现出站访问，这背后依赖的就是 IP 伪装（IP Masquerading），也就是 Linux 内核的 iptables 的 MASQUERADE 规则。它不是“伪造”，而是合法的 NAT 行为：容器发出的数据包源 IP 被动态替换成宿主机的出口 IP，返回流量再由内核自动还原——这是 Docker bridge 网络能连外网的核心机制。
你不需要手动开启“伪装”来让容器上网，Docker daemon 启动时默认就启用了它。但如果你遇到出站异常、想确认或调整行为，可按以下方式排查和配置：
查看当前是否启用 MASQUERADE
在宿主机执行：
iptables -t nat -L POSTROUTING -n | grep docker0
正常应看到类似：
MASQUERADE all -- 172.17.0.0/16 0.0.0.0/0
这表示所有来自 docker0 网桥子网（如默认 172.17.0.0/16）的出站流量，都会被伪装成宿主机的主网卡 IP。
修改出站伪装的源 IP（指定宿主机出口接口）
默认情况下，MASQUERADE 使用的是宿主机路由表决定的默认出口接口（如 eth0）。若宿主机有多个网卡（如 eth0 和 ens33），且你希望容器出站流量统一走某一个 IP（比如 192.168.10.5），需确保该 IP 所在接口是默认路由出口，或显式绑定规则：
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
# 先删掉原有 docker0 的 MASQUERADE（谨慎操作，建议先备份） iptables -t nat -D POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE # 替换为指定出口接口（例如强制走 eth0） iptables -t nat -A POSTROUTING -s 172.17.0.0/16 -o eth0 -j MASQUERADE
⚠️ 注意：修改 iptables 是临时生效；如需持久化，请写入
/etc/iptables/rules.v4（Debian/Ubuntu）或使用iptables-save配合 systemd 服务。
自定义网络时控制子网与伪装行为
如果你创建了自定义 bridge 网络（如 --subnet=192.168.100.0/24），Docker 会自动为其添加对应 MASQUERADE 规则：
docker network create --subnet=192.168.100.0/24 mynet # 此时 iptables 中将新增： # MASQUERADE all -- 192.168.100.0/24 0.0.0.0/0
关闭容器出站伪装（仅限调试，不推荐生产）
关闭后，容器将无法访问外网（除非你手动配 SNAT 或路由）：
# 删除对应规则（替换子网为你的实际网段） iptables -t nat -D POSTROUTING -s 172.17.0.0/16 -j MASQUERADE
⚠️ 这会导致 docker run 启动的容器 ping 不通 google.com，除非你额外配置静态路由或 SNAT。
补充说明：这不是“IP 伪造”，而是标准 NAT
-
MASQUERADE适用于动态 IP 场景（如 DHCP 宿主机），比SNAT更灵活； - 它只影响出站连接的源地址，不影响端口映射（
-p）、入站流量或 DNS 解析； - 容器内
curl ifconfig.me显示的是宿主机公网 IP，这是预期行为，不是安全漏洞。
不复杂但容易忽略
