--entrypoint 是 Podman/Docker 中覆盖镜像默认 ENTRYPOINT 的核心选项，优先级最高，可完全绕过原有启动逻辑，用于调试、网络配置或执行多步初始化命令。
直接在容器启动时配置内部网络转发规则，关键是在容器真正运行服务前执行 ip route 或 sysctl 命令。这不是改宿主机，也不是靠 docker 自动桥接，而是让容器一进来就自带正确的路由或内核参数。
用 --entrypoint 覆盖默认入口并执行多条命令
这是最常用、最轻量的方式，适合调试或简单场景。Docker 会把整个命令字符串交给 shell 执行：
- 让发往 192.168.50.0/24 的流量走网关 172.18.0.254：
docker run --entrypoint sh nginx -c "ip route add 192.168.50.0/24 via 172.18.0.254 dev eth0 && nginx -g 'daemon off;'" - 如果还要同时开启内核转发（比如容器要当网关）：
docker run --entrypoint sh ubuntu -c "sysctl -w net.ipv4.ip_forward=1 && ip route add 10.10.20.0/24 via 172.17.0.1 && tail -f /dev/null"
通过自定义启动脚本固化配置
比一行命令更可靠，尤其适合长期运行的容器。做法是写一个 shell 脚本，在里面依次执行网络设置和主程序：
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 脚本内容示例（start.sh）：
#!/bin/sh<br>ip route add 192.168.60.0/24 via 172.18.0.253<br>sysctl -w net.ipv4.conf.all.arp_ignore=0<br>exec "$@"
- 启动时挂载并指定：
docker run -v $(pwd)/start.sh:/start.sh ubuntu sh /start.sh nginx -g 'daemon off;'
确保容器具备执行权限和必要工具
不是所有镜像都预装 ip 或支持 sysctl，需提前确认或选择合适基础镜像：
- 精简镜像（如
alpine）默认没有iproute2，要加装：apk add iproute2 - 某些 distroless 镜像完全不带 shell 和网络工具，无法运行
ip route，应避免使用 - 检查容器是否以 特权模式或 --cap-add=NET_ADMIN 启动——添加路由和修改内核参数都需要该能力
验证配置是否生效
容器启动后立刻进容器检查，别等出问题才查：
- 看路由表：
ip route show，确认目标网段已存在且下一跳正确 - 测网关连通性：
ping -c 3 172.18.0.254 - 查内核参数：
cat /proc/sys/net/ipv4/ip_forward，输出必须是纯数字 1
