L2Bridge是弱隔离、强连通的二层桥接模式，容器直连物理子网、共享广播域与IP段，无NAT；适用于已有网络分段能力且需低延迟的场景，但本身不提供隔离，须配合防火墙、VLAN或Hyper-V隔离增强安全。
桥接模式的本质与适用边界
windows server 的 l2bridge（二层桥接）网络模式，不是传统意义上的“隔离模式”，而是弱隔离、强连通的设计。它让容器直接接入宿主机所在物理子网，共享同一广播域和 ip 地址段，不经过 nat 转换，也不创建独立的虚拟子网。这意味着：容器获得真实局域网 ip（如 192.168.1.105），可被同网段设备直接访问，但同时也暴露在相同网络风险中。
它适用于需要低延迟、直通物理网络策略（如已配置好 VLAN ACL 或端口安全）、且宿主机网络本身已具备分段能力的场景。不建议在公网直连的 VPS 或开放办公网中单独使用 L2Bridge 做“隔离”——它本身不提供隔离，只是桥接。
真正实现隔离的关键配合手段
仅启用 L2Bridge 不等于完成隔离。必须叠加以下至少一项控制机制：
- Windows 防火墙规则精细化控制：为每个容器进程或监听端口设置入站/出站规则。例如，限制数据库容器仅接受来自应用容器 IP 段（192.168.1.200/28）的 1433 端口连接，拒绝其他所有来源；
- VLAN 标记 + 物理交换机策略：在 Hyper-V 外部虚拟交换机上启用“允许管理操作系统共享此网络适配器”，并勾选“启用虚拟 LAN 标识”。将容器连接到带 VLAN ID 的虚拟端口（如 VLAN 110），再由上游交换机实施 VLAN 间路由禁止或 ACL 过滤；
-
结合 Hyper-V 隔离运行容器：即使使用 L2Bridge 驱动，也可通过
--isolation=hyperv启动容器。此时容器运行在轻量级 VM 中，拥有独立内核和防火墙实例，网络栈与宿主进一步分离，避免 Windows Server 容器共享宿主内核带来的横向渗透风险。
与 NAT、Transparent 模式的对比选择
若目标是明确隔离，L2Bridge 并非首选：
-
NAT 模式：默认开启，天然隐藏容器 IP，只通过
-p显式暴露端口，适合对外服务且无需容器间直连的场景； - Transparent 模式：容器获得独立 MAC 和 IP，但需额外公网 IP 或私网地址池，适合需反向代理或负载均衡介入的架构；
- L2Bridge：仅当已有成熟网络基础设施（如 SDN 控制器、支持 VXLAN 的交换机）并需跨主机二层互通时才体现价值，单节点部署中隔离性最弱。
操作确认与验证要点
启用 L2Bridge 后务必验证实际隔离效果：
- 运行
Get-NetAdapter | Where-Object {$_.Name -like "*vEthernet*"} | Get-NetIPAddress查看虚拟网卡是否绑定正确 VLAN ID； - 在容器内执行
ping和Test-NetConnection测试跨网段/跨 VLAN 的连通性，确认预期阻断是否生效； - 用
Get-NetFirewallRule -DisplayName "*container*"检查自定义防火墙规则是否已启用且策略方向正确； - 对关键容器禁用 ICMP 回应（
Set-NetFirewallSetting -Displayname "ICMPv4 In" -Enabled False），防止基础探测暴露存在。
