应选用macvlan或ipvlan驱动：macvlan实现L2直通、独立MAC与IP，满足金融级低延迟和审计要求；ipvlan L3模式则在MAC受限时通过路由隔离保障安全，二者均需配合VLAN、ACL、iptables策略及禁用隐式DNS实现强隔离。
要在容器内构建高安全金融级隔离网段，关键不是“在容器内”建网，而是用 Docker 的高级网络驱动，在宿主机层面为容器分配专属、直通、可审计的网络平面——这才能满足《JR/T 0197—2020》《PCI DSS》等对网络可见性、低延迟和租户强隔离的硬性要求。
启用 macvlan 驱动实现L2物理层直通隔离
macvlan 允许容器直接绑定到物理网卡子接口，获得真实局域网 IP，绕过 NAT 和 docker0 桥接，既降低延迟，又让流量完全暴露在传统防火墙和交换机 ACL 下，便于合规审计。
- 创建带 VLAN 标签的 macvlan 网络：
docker network create -d macvlan \ --subnet=10.20.30.0/24 \ --gateway=10.20.30.1 \ -o parent=eth0.100 \ -o macvlan_mode=bridge \ finance-macvlan - 容器启动后即拥有独立 MAC 和 IP，与物理服务器同级接入，不共享任何虚拟转发路径
- 需确保物理交换机端口开启 VLAN trunk，并配置对应 ACL 限制该 VLAN 仅允许访问指定核心系统地址段
使用 ipvlan L3 模式规避 MAC 地址冲突风险
在无法控制交换机或存在 MAC 表溢出隐患的环境中，ipvlan L3 模式更稳妥：多个容器共享同一 MAC，但通过路由表严格区分三层流量，仍保持 L2 透明性和策略可管性。
- 创建 ipvlan 网络：
docker network create -d ipvlan \ --subnet=10.40.50.0/24 \ --gateway=10.40.50.1 \ -o parent=eth0 \ -o ipvlan_mode=l3 \ finance-ipvlan - 所有容器 IP 直接参与主机路由决策，iptables 或 nftables 可基于 src/dst IP+端口精细限速、限流、记录日志
- 配合
--ip-range=10.40.50.100-10.40.50.199显式约束地址池，便于 IPAM 统一纳管
配合 NetworkPolicy 实现动态微隔离
单靠驱动不够，必须叠加运行时策略。Docker 原生不支持 Kubernetes 风格 NetworkPolicy，但可通过 docker network create 的 iptables 选项 + 宿主机 netfilter 规则链实现等效效果。
- 创建网络时禁用默认互通：
--opt com.docker.network.bridge.enable_icc=false - 为特定容器组添加白名单规则（示例）：
iptables -I FORWARD -i br-finance -o br-finance -s 10.20.30.10 -d 10.20.30.20 -p tcp --dport 3306 -j ACCEPT - 结合
nsenter -t $(docker inspect -f '{{.State.Pid}}' db) -n iptables -A OUTPUT -d 10.0.0.0/8 -j DROP在容器 netns 内封禁非业务网段出向
关闭隐式服务发现，强制使用受控 DNS
金融场景严禁容器名自动解析带来的隐式通信面。用户定义桥接网络虽默认启用 DNS，但必须覆盖为只响应预注册服务名。
- 禁用内置 DNS 发现：
docker network create --driver bridge --opt com.docker.network.bridge.enable_ip_masquerade=false --opt com.docker.network.driver.mtu=1450 finance-bridge - 部署轻量 CoreDNS 实例，仅加载 zone 文件中明确定义的服务 A 记录（如
payment.finance.svc），并通过--dns参数显式注入每个容器 - 在宿主机上用
iptables -t nat -A OUTPUT -p udp --dport 53 -m owner ! --uid-owner 999 -j REJECT封禁非 DNS 服务账户发起的 DNS 查询
