默认bridge网络不提供安全隔离，所有容器同属172.17.0.0/16子网可直接互通；真正隔离须弃用默认bridge，改用互不连通的自定义网络（如payment-net与user-net），并辅以DOCKER-USER链iptables规则和最小权限配置。
默认 bridge 网络下，所有容器处于同一子网（如 172.17.0.0/16），能直接用 ip 互通——这不等于隔离。要真正禁止互访、实现安全隔离，不能依赖“默认就安全”，而必须主动切断通信路径、分层设防。
弃用默认 bridge，改用独立自定义网络
这是最有效、最清晰的隔离方式。自定义桥接网络天然不互通，无需额外开关或规则。
- 创建业务专属网络：
docker network create payment-net和docker network create user-net - 启动容器时显式指定网络：
docker run --network payment-net --name pg-db postgres，docker run --network user-net --name api-server nginx - 两个网络之间无路由、无 DNS 解析；在
api-server容器里执行ping pg-db会直接失败，从网络层彻底隔开 - 注意：
--icc=false在 Docker 20.10+ 已默认启用，但它只影响默认bridge网络；对自定义网络无效，也不推荐依赖它作为主要隔离手段
在 DOCKER-USER 链中添加防火墙规则
Docker 自动管理 DOCKER 和 DOCKER-ISOLATION-STAGE-1 链，但用户规则容易被覆盖。正确位置是 DOCKER-USER 链——它在 Docker 规则之前执行，且不会被 daemon 覆盖。
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 禁止某类出口流量（如阻止所有容器访问外网 MySQL）：
iptables -A DOCKER-USER -m conntrack --ctorigdstport 3306 -j DROP - 限制入站：只允许宿主机访问容器 80 端口，拒绝其他来源：
iptables -A DOCKER-USER -i docker0 ! -s 127.0.0.1 -p tcp --dport 80 -j DROP - 规则生效后务必持久化（例如 Ubuntu 上用
iptables-persistent保存，避免重启丢失）
禁用容器间自动发现与非必要网络能力
隔离不只是“连不上”，还要控制“能做什么”。
- 绝不使用
--privileged；如需操作网络栈，仅加最小能力：--cap-add=NET_ADMIN --cap-add=NET_RAW - 暴露端口时绑定到本地回环：
-p 127.0.0.1:8000:80，避免监听0.0.0.0，再统一由 Nginx 或 Traefik 做反向代理和访问控制 - 限制非 root 进程可绑定端口范围：
--sysctl net.ipv4.ip_unprivileged_port_start=8080，让普通用户只能绑定 ≥8080 的端口
补充：临时加固默认 bridge（仅限过渡场景）
若暂无法迁移至自定义网络，可通过 iptables 强制阻断容器间流量：
- 清空已有隔离链：
sudo iptables -t filter -F DOCKER-ISOLATION-STAGE-1 - 插入拒绝规则（容器→容器）：
sudo iptables -t filter -I DOCKER-ISOLATION-STAGE-1 -i docker0 -o docker0 -j DROP - 确保该链被 FORWARD 调用：
sudo iptables -t filter -C FORWARD -j DOCKER-ISOLATION-STAGE-1 || sudo iptables -t filter -I FORWARD -j DOCKER-ISOLATION-STAGE-1
