Docker Compose 无法直接配置容器级网络镜像，需通过 macvlan+混杂模式（真旁路）、自定义 bridge+iptables TEE（兼容云环境）或 nsenter 临时切入命名空间三种方案实现无感抓包。

在 Docker Compose 中无法直接配置“容器级网络镜像”——因为 Compose 本身不提供流量镜像（SPAN/Port Mirroring）能力，它只是编排工具，底层依赖 Docker 网络驱动和宿主机网络设施。所谓“多服务无感抓包”，本质是让抓包容器**被动旁路监听**其他服务间的双向通信，而非修改业务容器配置或侵入其网络栈。

用 macvlan + 物理网卡混杂实现真正旁路镜像

这是最接近“无感”的方案：抓包容器与被测服务处于同一二层域，无需改动任何服务定义，也不依赖 iptables 或 docker0 转发。

• 宿主机物理网卡（如 eth0）需支持混杂模式：sudo ip link set eth0 promisc on
• 在 docker-compose.yml 中声明 macvlan 网络（注意指定 parent 和子网）：

networks:
  mirror-net:
    driver: macvlan
    driver_opts:
      parent: eth0
    ipam:
      config:
        - subnet: 192.168.1.0/24
         gateway: 192.168.1.1

• 所有服务（包括 sniffer）都加入该网络，并为 sniffer 容器添加必要权限：

services:
  app-a:
    image: nginx:alpine
    networks: [mirror-net]
  app-b:
    image: curlimages/curl
    command: sleep infinity
    networks: [mirror-net]
  sniffer:
    image: nicolaka/netshoot
    cap_add: [NET_ADMIN]
    networks: [mirror-net]
    command: sh -c "ip link set eth0 promisc on && tcpdump -i eth0 -w /tmp/capture.pcap -s 0 host 192.168.1.10 and host 192.168.1.11"

启动后，sniffer 容器能捕获 app-a ↔ app-b 的完整以太网帧（含双向 MAC 层），业务容器完全无感知、零配置变更。

用自定义 bridge + iptables tee 实现兼容性抓包

适用于云主机、虚拟机等无法直连物理网卡的环境。核心是将进出 docker0 的双向流量复制一份到本地回环接口，再由抓包容器监听 lo。

Docker Compose

使用正确的依赖处理、网络和卷管理来定义多容器应用。

下载

• 先启用 docker0 混杂：sudo ip link set docker0 promisc on
• 创建自定义 bridge 网络（避免干扰默认网络）：

networks:
  mirror-br:
    driver: bridge
    ipam:
      config:
        - subnet: 172.20.0.0/16

• 在 sniffer 容器启动时注入 iptables 规则（需挂载宿主机 /proc/sys/net/ipv4/ip_forward 并开启转发）：

sniffer:
  image: nicolaka/netshoot
  cap_add: [NET_ADMIN, NET_RAW]
  volumes:
    - /proc/sys/net/ipv4/ip_forward:/proc/sys/net/ipv4/ip_forward:ro
  command: sh -c "
    echo 1 > /proc/sys/net/ipv4/ip_forward &&
    iptables -t mangle -A PREROUTING -s 172.20.0.0/16 -d 172.20.0.0/16 -j TEE --gateway 127.0.0.1 &&
    iptables -t mangle -A POSTROUTING -s 172.20.0.0/16 -d 172.20.0.0/16 -j TEE --gateway 127.0.0.1 &&
    tcpdump -i lo -w /tmp/mirror.pcap -s 0"

该方式下，app-a 与 app-b 仍使用标准 bridge 配置，无需修改；sniffer 通过 lo 接口捕获被复制的双向 IP 包（不含 MAC 层），对业务透明。

用 nsenter 临时切入命名空间抓取逻辑流

适合调试阶段快速验证，不需提前规划网络，但非持久化方案。

• 保持服务使用默认网络（如 myproject_default）
• 启动一个带 netns 权限的调试容器（可复用）：

debug:
  image: nicolaka/netshoot
  cap_add: [NET_ADMIN]
  volumes:
    - /var/run/docker.sock:/var/run/docker.sock
  command: tail -f /dev/null

• 执行命令切入目标容器网络命名空间并抓包（例如抓 app-a 与 app-b 通信）：

docker-compose exec debug nsenter -t $(pidof -s app-a) -n tcpdump -i any -w /tmp/a-to-b.pcap host $(dig +short app-b | head -1)

此方法不改写 compose 配置，也不影响运行中服务，但每次需手动触发，不适合长期监控。