--network none 并非绝对安全，因默认保留lo接口导致127.0.0.1仍可达；需组合--cap-drop=ALL、--read-only、--tmpfs及禁用lo才能实现物理级网络隔离。

使用 --network none 是构建物理级网络隔离沙箱最直接有效的方式，但它本身并不等于“绝对安全”——关键在于理解其行为边界，并补足默认残留（如 lo 接口）带来的潜在通路。

None 模式的真实行为：不是“没网络”，而是“仅保留回环”

Docker 的 none 模式会为容器创建独立网络命名空间，但仍默认初始化 loopback 接口（lo），地址为 127.0.0.1。这意味着：

• 容器内 ping 127.0.0.1 会成功，curl http://localhost 也能通
• 若宿主机服务监听在 0.0.0.0:端口，且容器内进程主动发包到 127.0.0.1:端口，该流量不经过 docker0 网桥，而是走宿主机内核的本地回环路径，可能意外打通
• 因此，“物理隔离”需主动移除或禁用 lo，而非仅依赖 --network none

彻底切断回环通路的实操组合

要真正实现网络层面的物理隔离，推荐以下三步组合操作：

• 启动时禁用全部能力：用 --cap-drop=ALL 移除所有 Linux 能力，防止容器内进程自行启用网络栈
• 关闭只读保护外的可写路径：添加 --read-only 并配合 --tmpfs /run --tmpfs /tmp，避免通过临时文件绕过限制
• 屏蔽 hosts 解析干扰：挂载空文件覆盖 /etc/hosts，例如 -v /dev/null:/etc/hosts，防止 localhost 被重定向

完整命令示例：

docker run -d --network none --cap-drop=ALL --read-only --tmpfs /run --tmpfs /tmp -v /dev/null:/etc/hosts nginx

进阶加固：运行时移除 lo 接口（适用于必须保留基础网络栈的场景）

若容器需保留部分网络功能（如绑定内部端口），但又必须阻断对宿主机 127.0.0.1 的访问，可在启动后进入 netns 手动处理：

• 获取容器 PID：PID=$(docker inspect -f '{{.State.Pid}}' <container_name>)
• 关闭回环接口：nsenter -t $PID -n ip link set dev lo down
• （可选）彻底删除 lo：nsenter -t $PID -n ip link delete lo —— 注意：此举将导致 localhost 解析失败、ping 127.0.0.1 返回 Network is unreachable

配合其他隔离维度，形成纵深防御

纯网络隔离只是沙箱的一环。真正安全的 AI Agent 或代码执行沙箱还需叠加：

• 文件系统隔离：用 --read-only + --tmpfs 限制写入，避免敏感文件被篡改或泄露
• 资源限制：添加 --memory=512m --cpus=1 --pids-limit=30 防止 fork 炸弹或内存耗尽
• 用户命名空间映射：启用 --userns-remap，使容器内 root 映射为宿主机非特权用户
• 禁用特权模式：确保未使用 --privileged 或 --cap-add=NET_ADMIN 等高危参数