可通过宿主机iptables的FORWARD链限制容器出站，因Docker bridge网络依赖NAT转发且自动管理规则，必须将DROP规则插在Docker ACCEPT规则之前；推荐使用-i docker0 -o eth0精准匹配容器出向流量，并结合ipset或容器IP实现细粒度控制。
可以通过宿主机的 iptables 规则限制容器对外发起连接，Docker 本身不提供原生的“出站访问白名单/黑名单”功能，核心控制点在宿主机的 FORWARD 链。
为什么默认无法直接限制容器出站？
Docker 的 bridge 网络依赖 NAT 转发，容器发出的请求经由宿主机的 FORWARD 链转发到外网。Docker 自动管理部分 iptables 规则（如 DOCKER-USER、DOCKER-ISOLATION-STAGE-1），但出站限制需手动插入规则并确保位置正确——必须放在 Docker 插入的 ACCEPT 规则之前，否则会被跳过。
用 iptables 限制特定目标 IP 或网段
在宿主机执行以下命令，禁止某容器（或所有容器）访问指定外部地址：
- 禁止访问单个 IP：
sudo iptables -I FORWARD -o eth0 -d 203.208.60.1 -j DROP - 禁止访问整个网段（如某云服务段）：
sudo iptables -I FORWARD -o eth0 -d 192.168.100.0/24 -j DROP - 仅限制来自 Docker 网桥的流量（更精准）：
sudo iptables -I FORWARD -i docker0 -o eth0 -d 8.8.8.8 -j DROP
注意：-i docker0 表示“从 Docker 虚拟网桥进来”，-o eth0 表示“向外发出到物理网卡”，这样可避免误拦宿主机自身流量。
按容器网络或名称做精细控制
若只希望限制某个容器（比如名为 payment-service），需先获取其 IP，再结合 ipset 或匹配源地址：
- 查容器 IP：
docker inspect payment-service | grep IPAddress - 添加规则（假设 IP 是 172.17.0.5）：
sudo iptables -I FORWARD -s 172.17.0.5 -d 10.0.0.0/8 -j DROP - 为长期生效，保存规则：
sudo iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）
或sudo service iptables save（CentOS/RHEL）
替代方案：使用自定义网络 + 禁用 IP 转发
若想彻底禁止某类容器访问外网（如测试环境数据库容器），可创建无外网能力的网络：
- 创建不启用 IP 转发的桥接网络：
docker network create --driver bridge --opt com.docker.network.bridge.enable_ip_masquerade=false my-isolated-net - 启动容器时不挂载默认路由：
docker run --network my-isolated-net --sysctl net.ipv4.ip_forward=0 nginx
该方式下容器仍可与同网络内其他容器通信，但无法通过 NAT 访问外网，适合高安全要求场景。
