Docker容器网络隔离的核心是分层组合控制通信边界，而非单一设置；关键在于明确“谁可与谁通、走哪条路、带何策略”，依托bridge/host/none等模式及自定义网络、防火墙规则、运行时限制协同实现精细化管控。
Docker 容器网络安全隔离的核心是控制容器之间、容器与宿主机、容器与外部网络之间的通信边界，不是靠单一设置，而是分层组合实现。关键不在于“能不能通”，而在于“谁可以跟谁通、走哪条路、带什么策略”。
用对网络模式，是隔离的第一道门槛
-
bridge（默认桥接）：容器有独立 IP 和端口空间，彼此默认不通，也不直接暴露给外网；适合大多数服务，但需注意默认 bridge 网络（如
docker0）所有容器可互通，存在隐式信任风险 -
自定义 bridge 网络：创建时加
--internal选项，就禁掉该网络对外出口，连 NAT 都不启用，真正“关起门来”；再配合--subnet和--gateway显式划分子网，避免地址冲突 - host 模式：完全共享宿主机网络栈，无任何命名空间隔离，端口直通，性能好但安全零容忍——仅限可信、临时、调试类场景
-
none 模式：只保留
lo接口，彻底断网，适合离线批处理或高敏计算任务，比如密钥解密、日志脱敏等
示例：严格隔离的租户网络
docker network create --driver bridge \ --internal \ --opt com.docker.network.bridge.enable_ip_forwarding=false \ tenant-a-net
控制容器间通信，不能只靠“同网即通”
Docker 27 默认已关闭同网容器的隐式互通能力。这意味着：
- 即使两个容器在同一个自定义 bridge 网络里，也不能直接
ping或curl对方，除非显式启用 DNS 解析或配置连接别名 - 可通过
--network-alias给容器设服务名，再用--connect主动建立连接关系，实现“按需授权通信” - 若需更细粒度控制（比如只允许 A 访问 B 的 8080 端口，禁止访问 22），就得叠加防火墙规则或 CNI 插件（如 Cilium）
利用 iptables/eBPF 做动态流量过滤
Docker 启动时自动写入 DOCKER-USER 链，这是你插规则的安全入口：
- 阻止某容器出向全部外网：
iptables -I DOCKER-USER -o docker0 -s 172.20.1.5 -j DROP - 仅放行特定域名或 IP 段（配合
ipset更高效） - Docker 27 内置 eBPF 引擎，支持运行时加载 L3/L4 策略，比如“只允许容器调用 api.example.com:443”，无需重启容器
配合运行时限制加固网络面
-
--cap-drop=ALL --security-opt no-new-privileges：防止容器提权后篡改网络配置 -
--read-only+/dev/null重定向日志：减少攻击面，也降低非法外连痕迹留存 - 禁用
net_admin能力，避免容器内执行ip route或iptables修改自身网络环境
不复杂但容易忽略
