Docker容器网络隔离通过--network参数选择bridge、none、host或container模式实现命名空间控制；配合自定义bridge网络、nsenter操作netns及--cap-drop=NET_RAW等安全配置达成深度隔离。
在 Docker 中配置容器的网络隔离策略，核心是控制容器是否拥有独立的网络命名空间（netns），以及如何限制它与其他容器、宿主机或外部网络的通信路径。这不是靠单一命令完成的，而是通过选择网络模式、自定义网络、配合 Linux 工具（如 ip netns、iptables）和运行时安全配置共同实现。
明确网络模式决定隔离强度
网络命名空间的创建与否，由启动容器时指定的 --network 参数直接控制：
- bridge（默认）：自动为容器创建全新 network namespace，分配独立 IP（如 172.17.0.x）、veth 设备、路由表和 iptables 规则。容器间可通过内部 IP 互通，但与宿主机网络逻辑分离。
- none：容器仍拥有独立 network namespace，但不配置任何网络设备（仅保留 lo）。完全断网，适合离线批处理任务。
- host：容器不创建新 network namespace，直接复用宿主机的网络栈。无隔离，端口直通，性能高但风险大。
-
container:
：新容器共享指定容器的 network namespace，两者 IP、端口、socket 表完全一致，仅进程和文件系统隔离。
用自定义 bridge 网络增强策略可控性
默认的 docker0 网桥缺乏服务发现和细粒度访问控制。推荐使用用户定义 bridge 网络：
- 创建隔离子网：
docker network create --driver bridge --subnet=192.168.100.0/24 isolated-net - 容器加入该网络后，自动获得 DNS 解析（容器名即主机名），且默认禁止跨网络通信。
- 可进一步用
docker network connect或disconnect动态调整容器所属网络，实现运行时网络拓扑变更。
手动操作 netns 实现深度定制
当需要调试、注入策略或模拟复杂拓扑时，可直接操作底层 netns：
- 查看容器的 netns 路径：
ls -l /proc/<pid>/ns/net</pid>（先用docker inspect -f '{{.State.Pid}}' <name></name>获取 PID） - 进入容器 netns 执行命令：
nsenter -t <pid> -n ip addr</pid>或nsenter -t <pid> -n iptables -L</pid> - 添加自定义路由或防火墙规则：
nsenter -t <pid> -n ip route add 10.0.0.0/8 via 172.17.0.1</pid>
结合 seccomp 和 capabilities 限制网络能力
命名空间提供“隔离”，但不阻止容器内进程滥用网络系统调用。需补充运行时限制：
- 禁用原始套接字（防 ARP 欺骗、端口扫描）：
--cap-drop=NET_RAW - 加载最小化 seccomp 配置，屏蔽
bind、connect、setsockopt等敏感调用（适用于只读或纯计算型容器） - 搭配
--read-only和--tmpfs可进一步缩小攻击面
