高等级容器数据安全隔离需摒弃默认bridge网络，改用自定义桥接网络（如finance-db-net）切断隐式通信，禁用ICC，配合Calico等网络策略实施细粒度东西向控制，并同步强化运行时权限、镜像与主机安全。
要保障容器间高等级数据安全隔离，不能只依赖 Docker 默认 bridge 网络——它默认允许同网段容器互通，存在横向移动风险。真正有效的做法是：用自定义网络切断隐式通信、配合网络策略限制流量路径、再叠加运行时权限与镜像层加固，形成纵深防御。
创建严格隔离的自定义桥接网络
默认 bridge 网络（如 docker0）所有容器可互相 ping 通、端口扫描可达，不满足高等级隔离要求。必须显式创建独立网络，并确保容器仅加入且只加入一个业务专属网络：
- 执行
docker network create --driver bridge --subnet=192.168.100.0/24 --ip-range=192.168.100.64/26 --gateway=192.168.100.1 finance-db-net，为金融数据库服务划出专用子网 - 启动容器时强制指定：
docker run -d --name pg-primary --network finance-db-net --ip 192.168.100.10 -e POSTGRES_PASSWORD=xxx postgres:15-alpine - 绝不混用网络：同一容器不得同时接入
finance-db-net和public-api-net；不同业务网络之间无路由、无 DNS 解析、无 ARP 响应
禁用容器自动互联并关闭 ICC
Docker 旧版本默认开启容器间通信（ICC），即使在不同网络也可能因配置疏漏被绕过。20.10+ 虽已默认关闭，但仍需确认并强化：
- 检查 daemon 配置：
cat /etc/docker/daemon.json，确保含"icc": false字段 - 启动容器时显式禁用链接：
--link已废弃，禁止使用；若需有限通信，改用用户定义网络 + 显式 DNS 名称（如curl http://pg-primary:5432） - 验证隔离效果：
docker exec app-web ping pg-primary应失败；docker exec app-web nc -zv pg-primary 5432也应超时
用网络策略工具实施细粒度访问控制
仅靠网络划分属“粗粒度隔离”，高等级场景需基于工作负载身份控制东西向流量。推荐轻量级方案 Calico（非 Swarm/K8s 也可单机部署）：
- 安装 calicoctl 并初始化节点后，定义策略限制数据库仅响应 API 层请求：
apiVersion: projectcalico.org/v3
kind: NetworkPolicy
metadata:
name: allow-api-to-pg
spec:
selector: app == 'postgres'
types:
- Ingress
ingress:
- from:
- selector: app == 'api-server'
ports:
- protocol: TCP
port: 5432 - 该策略生效后，即使两个容器意外连入同一网络，除
api-server外任何容器尝试连接 5432 端口都会被内核丢包 - 避免使用 iptables 手动规则——易冲突、难审计、不可移植
配套强化：网络之外的关键收口点
网络隔离只是防线一环，必须同步收紧其他维度，否则攻击者可能绕过网络直击进程或文件系统：
- 容器启动时加
--read-only --tmpfs /run --tmpfs /tmp --tmpfs /var/log，防止恶意写入持久化 - 禁用特权：
--cap-drop=ALL --cap-add=NET_BIND_SERVICE --security-opt no-new-privileges - 镜像必须使用
python:3.11-slim或debian:bookworm-slim等精简基础镜像，并启用内容信任：DOCKER_CONTENT_TRUST=1 docker pull your-registry/db:prod - 宿主机层面启用 AppArmor 模板（如
docker-default）并审计日志：journalctl -u docker | grep -i "avc.*denied"
