Docker容器出站IP限制有三种实用方法：一是自定义桥接网络+宿主机iptables白名单规则；二是macvlan直连物理网段+交换机ACL；三是Kubernetes NetworkPolicy声明式egress管控。
在 Docker 中配置容器的网络出口 IP 限制，核心目标是控制容器“能访问哪些外部地址”，而非“被谁访问”。这属于出站（egress）管控，需结合网络驱动、宿主机防火墙或编排平台策略来实现。不同场景下方法差异较大，下面分三类实用方式说明。
用自定义桥接网络 + 宿主机 iptables 精确拦截
适用于单机 Docker 环境，不依赖 Kubernetes。原理是：让容器走桥接网络，再在宿主机的 DOCKER-USER 链中插入白名单规则，只放行指定出口 IP 或网段。
- 先创建专用网络：
docker network create --subnet=192.168.10.0/24 mynet - 启动容器并接入该网络：
docker run -d --network=mynet --name app nginx - 在宿主机上禁止所有出站访问（默认拒绝）：
iptables -I DOCKER-USER -o eth0 -j DROP - 仅允许访问特定出口 IP（如 API 服务器 203.0.113.5）：
iptables -I DOCKER-USER -o eth0 -d 203.0.113.5 -j ACCEPT - 保存规则（以 CentOS/RHEL 为例）：
service iptables save，并启用开机自启
⚠️ 注意：规则顺序很重要，ACCEPT 必须插在 DROP 之前；若系统启用 firewalld，需先禁用或设为 passthrough 模式。
用 macvlan 网络直连物理子网 + 交换机 ACL
适合对网络控制要求高、且基础设施支持 VLAN 和 ACL 的环境。macvlan 让容器获得与宿主机同层的真实 IP，出口流量不再经过 docker0 桥接，可由上游交换机或路由器直接做 IP 级出站过滤。
- 创建 macvlan 网络（假设物理网卡为 ens160）：
docker network create -d macvlan --subnet=192.168.20.0/24 --gateway=192.168.20.1 -o parent=ens160 macnet - 运行容器并指定出口 IP：
docker run -d --network=macnet --ip=192.168.20.100 nginx - 在交换机上配置 ACL，只允许该 IP（192.168.20.100）访问目标服务网段（如 10.50.0.0/16），其余全部 deny
✅ 优势是零宿主机 NAT、低延迟、权限粒度细；缺点是需网络设备配合，且容器无法直接访问宿主机 localhost。
用 Kubernetes NetworkPolicy 控制 egress 流量
若容器运行在 K8s 集群中，这是最标准、声明式、可复用的方式。NetworkPolicy 的 egress 字段可精确限制容器对外发起连接的目标 IP、端口、协议。
- 编写策略文件（例如只允许访问 198.51.100.0/24 的 443 端口）：
kind: NetworkPolicy
metadata:
name: restrict-egress
spec:
podSelector:
matchLabels:
app: backend
policyTypes:
- Egress
egress:
- to:
- ipBlock:
cidr: 198.51.100.0/24
ports:
- protocol: TCP
port: 443
- 应用策略：
kubectl apply -f restrict-egress.yaml - ✅ 前提：集群 CNI 插件必须支持 NetworkPolicy（如 Calico、Cilium、Weave）
