关键是从网络架构设计、访问控制粒度、通信链路保护和运行时监控四层面系统性落地：用自定义bridge网络替代默认docker0实现逻辑隔离，严格约束端口映射并绑定内网IP，强制TLS/SSL加密容器间通信，结合Falco、Prometheus等工具实现网络行为审计与实时告警。
做好 Docker 容器网络安全加固，关键不是堆砌工具，而是从网络架构设计、访问控制粒度、通信链路保护和运行时监控四个层面系统性落地。
用自定义网络替代默认 bridge
默认的 docker0 网桥允许所有连接到它的容器自由互通，相当于把多个服务放在同一局域网里却不设门禁。应停用默认网络，改用用户自定义桥接网络：
- 创建隔离网络：
docker network create --driver bridge myapp-net - 启动容器时显式加入：
docker run --network myapp-net nginx - 不同网络间的容器默认无法通信，连 DNS 解析都不可用，天然阻断横向移动
- 避免使用
--net=host，它让容器直接复用宿主机网络栈，等于把防火墙拆了
精准控制端口暴露与访问来源
端口是攻击者最常利用的入口，必须严格约束暴露范围和访问权限：
- 只映射必需端口，禁用
-P（自动映射所有 EXPOSE 端口） - 绑定到内网 IP 而非
0.0.0.0，例如：-p 192.168.10.5:8080:80 - 通过
DOCKER-USER链配置 iptables 规则，这是 Docker 保留给用户自定义规则的专用链，不会被引擎覆盖 - 示例：只允许办公网段访问管理接口：
iptables -I DOCKER-USER -s 10.10.0.0/16 -p tcp --dport 2376 -j ACCEPT
强制容器间通信加密
明文传输在容器网络中同样危险，尤其数据库连接、API 调用等敏感链路：
- 数据库容器启用 SSL：MySQL 配置
require_secure_transport=ON，PostgreSQL 设置ssl = on并挂载证书 - 应用间调用走 HTTPS，前端容器不直连后端 HTTP 地址，统一经反向代理（如 Nginx 或 Traefik）转发
- 跨主机部署时，优先选用 Docker Swarm 的 overlay 网络（默认启用 AES 加密），或集成 Cilium 等支持 eBPF 加密的 CNI 插件
启用网络行为审计与实时监控
看不见的流量就是风险盲区，需让容器网络行为可观察、可告警：
- 开启 Docker 引擎日志驱动：
--log-driver json-file --log-opt max-size=10m，记录容器网络操作 - 用
tcpdump -i docker0或nsenter -t $(pidof dockerd) -n tcpdump抓取指定容器的流量 - 部署 Falco 监控系统调用，捕获异常 connect、bind 行为，例如非预期进程尝试连接外网 443 端口
- 结合 Prometheus + cAdvisor 收集容器网络指标，对短时大量新建连接、异常出口流量设置阈值告警
