Docker容器网络自动化运维需建立可收敛、可审计、可批量生效的基线配置体系，核心是统一cgroupv2+systemd运行时、Overlay加密网络、journald日志注入及eBPF策略注入，禁用手动iptables操作。
统一底层运行时：cgroupv2 + systemd 驱动
这是所有自动化的地基。Docker 27 要求必须启用 cgroup v2 并使用 systemd 作为 cgroup driver，否则 overlay 网络策略无法绑定容器生命周期。
- 检查宿主机是否启用 cgroup v2：
mount | grep cgroup应显示cgroup2 on /sys/fs/cgroup - 启动 dockerd 时显式指定：
--cgroup-manager systemd - 验证生效：
docker info --format '{{.CgroupDriver}}'输出必须是systemd
跨主机网络：Overlay 加密 + 自动密钥轮换
默认未加密的 overlay 不适用于生产环境，尤其在多可用区部署中存在明文流量风险。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 初始化 Swarm 时启用自动密钥管理：
docker swarm init --autolock --encryption - 创建自定义 overlay 网络时强制加密：
docker network create -d overlay --subnet=10.0.1.0/24 --opt encrypted mynet - 始终配合
--attachable，方便独立容器按需接入
日志与可观测性：journald 驱动 + 元数据注入
网络故障排查依赖上下文一致的日志。Docker 27 要求统一使用 journald，并让每条日志携带容器身份信息。
- 全局配置 daemon.json：
"log-driver": "journald" - 编排工具（如 Swarm 或自研调度器）启动容器时注入标签：
--label com.docker.network.container.id=xxx - 监控端需能解析 systemd 日志字段：
_CONTAINER_NAME、_IMAGE_ID、_HOSTNAME
eBPF 策略注入：替代 iptables 的动态网络控制
传统 iptables 规则难以支撑毫秒级策略变更，且人工修改易导致状态漂移。Docker 27 原生支持 eBPF 注入 per-container 网络策略。
- 启用 eBPF 支持：
dockerd --feature-flags '{"enable-bpf":"true"}' - IP 分配与策略绑定需显式声明：
docker network connect --ip 10.0.1.100 --ipam-config ... - 禁止手动执行
iptables或ip rule，所有变更必须经 Docker API 或 Swarm service update 触发
