大型网站架构要求Docker容器网络具备可扩展、可隔离、可预测、可运维特性，核心是分层设计+显式编排+安全收敛：按角色划分frontend、backend、data、monitoring等逻辑网络，使用自定义bridge替代默认docker0，API网关作为唯一跨网通信入口，谨慎使用host模式，防火墙与Docker规则协同工作。
按角色划分逻辑网络平面
前端、API、数据库、缓存、消息队列等服务不该挤在同一个网络里。用 Docker Compose 的 multi-network 显式定义隔离域：
- frontend 网络：只接入 Nginx、React SSR、CDN 边缘节点，对外暴露 HTTPS 端口，禁止直连后端
- backend 网络：承载业务 API、认证服务、文件处理等，与 frontend 单向通信（通过反向代理或网关）
- data 网络：仅包含 PostgreSQL、Redis、Elasticsearch，不接入任何外部网络，由 backend 服务桥接访问
- monitoring 网络：Prometheus、Grafana、cAdvisor 独立运行，通过 host 或 host.docker.internal 访问宿主机指标，不混入业务流量
用自定义 bridge 替代默认 docker0
默认 bridge 不支持 DNS 解析、IP 不固定、子网不可控，无法用于生产。必须创建带子网和网关的自定义桥：
- 为每个逻辑网络分配独立 CIDR，例如：
frontend: 172.20.10.0/24、backend: 172.20.20.0/24、data: 172.20.30.0/24 - 创建命令示例：
docker network create --driver bridge --subnet 172.20.30.0/24 --gateway 172.20.30.1 data - 容器启动时显式指定网络：
--network data，避免隐式加入默认网络 - 同一网络内服务可通过服务名互通（如
redis://cache:6379），无需硬编码 IP
API 网关作为唯一跨网通信入口
不允许 frontend 直连 database 或 cache。所有跨平面调用必须经由 API 网关（如 Kong、Traefik 或自研 BFF）：
- 网关容器同时接入 frontend 和 backend 两个网络
- 它接收来自 frontend 的请求，转发至 backend 服务（如
http://user-service:8080） - backend 服务只连 backend 和 data 网络，完全屏蔽来自 frontend 的直接访问
- 这样既规避了防火墙规则爆炸式增长，又实现了最小权限通信模型
谨慎使用 host 模式，仅限旁路组件
host 模式绕过网络栈，性能好但破坏隔离性，不适合主业务：
- 适用场景：日志采集器（Filebeat）、监控探针（node-exporter）、压测工具（wrk）
- 禁用方式：不在 docker-compose.yml 中设
network_mode: host；若必须启用，仅对单个 service 显式声明，并确保该 service 不参与服务发现 - 验证手段：
docker exec -it svc-name ip addr—— 若看到宿主机真实网卡（如 eth0），说明已启用 host 模式
防火墙与 Docker 规则协同工作
很多“容器连不上外网”其实是 firewalld 重启后清空了 Docker 插入的 iptables 链。解决方法不是关防火墙，而是放行容器子网：
- 在 firewalld 中添加富规则：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="172.20.0.0/16" accept' - 重载配置：
firewall-cmd --reload - Docker 的 DNAT/SNAT 规则会保留在 DOCKER-USER 链中，与 firewalld 策略共存
