UniFi环境下为Docker容器配置独立VLAN的可行性、合理性及配置方法问询

完全可以把所有Docker容器放到单独的UniFi VLAN里，而且这是个非常明智的做法，我自己也这么配置过，刚好能解决你提到的流量隔离和防火墙规则管控问题。

先说说可行性与合理性 #

• 可行性：绝对没问题，Docker支持多种网络驱动（macvlan、ipvlan、自定义bridge），配合UniFi的VLAN功能，能轻松把容器划归到独立网络。
• 合理性：太有必要了！把容器、IoT设备、日常网络彻底分开后，你可以精准控制各网段之间的流量：比如只允许HomeAssistant访问IoT的MQTT服务，禁止容器网段随便访问你的日常设备，甚至能限制IoT设备反向访问容器，大大降低了潜在的安全风险，也让网络管理更清晰。

具体配置步骤 #

第一步：在UniFi控制器里准备好专用VLAN

1. 打开UniFi Controller，进入「Settings > Networks」，点击「Add New Network」
2. 网络类型选「Corporate」（Guest网络会有额外隔离限制，不太适合容器），命名比如「Docker-Containers」
3. 设置VLAN ID（比如30，选个没被占用的编号），子网填192.168.30.0/24，网关设为192.168.30.1（这是UDR对应VLAN的接口IP）
4. DHCP可以选择禁用（推荐给容器静态分配IP），或者设置一个IP范围供容器自动获取
5. 保存后，确保连接Synology的UDR端口允许这个VLAN通过：进入「Settings > Ports」，找到Synology连接的端口，把VLAN模式设为「All VLANs」或者手动添加VLAN 30

第二步：在Docker（Synology）里配置网络

这里推荐两种常用方案，你可以根据需求选：

方案一：Macvlan驱动（容器直接成为VLAN内的独立设备）

这种方式下，容器会直接获得VLAN网段的IP，在UniFi里能看到每个容器作为单独的设备，方便单独设置规则：

1. 先在Synology的「控制面板 > 网络 > 网络接口」里添加一个VLAN接口：选对应的物理网卡，VLAN ID填30，IP可以设为192.168.30.2（和网关同网段就行）
2. SSH登录Synology，执行Docker命令创建macvlan网络：

docker network create -d macvlan \
  --subnet=192.168.30.0/24 \
  --gateway=192.168.30.1 \
  --ip-range=192.168.30.100/28 \  # 给容器预留的IP范围
  -o parent=eth0.30 \  # 这里的eth0是你刚才加VLAN的物理网卡，eth0.30是VLAN接口
  macvlan-docker

3. 运行容器时指定这个网络，比如启动HomeAssistant：

docker run -d \
  --name homeassistant \
  --network=macvlan-docker \
  --ip=192.168.30.101 \  # 静态分配IP
  homeassistant/home-assistant

注意：macvlan的特性是Docker主机（Synology）默认不能直接ping容器，如果需要主机和容器通信，得额外创建一个macvlan子接口或者用其他网络桥接，一般容器之间、容器和其他网段通信不受影响。

方案二：自定义Bridge网络（更灵活，适合需要主机和容器通信的场景）

如果需要Synology本身和容器频繁通信，这个方案更合适：

1. SSH登录Synology，创建自定义bridge网络：

docker network create -d bridge \
  --subnet=192.168.30.0/24 \
  --gateway=192.168.30.254 \  # 网关设为一个未被占用的IP，比如这个
  bridge-docker

2. 添加静态路由，让容器网段的流量指向UDR的VLAN网关：

ip route add 192.168.30.0/24 via 192.168.30.1 dev eth0.30

3. 把这条路由设置为开机自动执行：在Synology里编辑/usr/local/etc/rc.d/route-docker.sh（没有就新建），内容如下：

#!/bin/sh
ip route add 192.168.30.0/24 via 192.168.30.1 dev eth0.30

然后给脚本加执行权限：chmod +x /usr/local/etc/rc.d/route-docker.sh
4. 运行容器时指定这个bridge网络即可，比如：

docker run -d \
  --name mqtt-broker \
  --network=bridge-docker \
  --ip=192.168.30.102 \
  eclipse-mosquitto

第三步：在UniFi里配置防火墙规则

现在容器都在VLAN 30里了，你可以针对性设置规则：

1. 进入「Settings > Firewall & Security > Firewall Rules」，选择「LAN In」规则组（管控LAN内各网段之间的流量）
2. 比如创建这些规则：
   • 允许Docker VLAN（30）到IoT VLAN（假设是VLAN 20）的TCP 1883端口（MQTT）流量
   • 允许日常网络（比如VLAN 10）到Docker VLAN的TCP 8123端口（HomeAssistant）流量
   • 禁止Docker VLAN访问日常网络的所有其他端口
   • 禁止IoT VLAN访问Docker VLAN的所有端口（除非有特殊需求）
3. 规则的优先级要注意：UniFi的规则是从上到下匹配，所以把需要优先匹配的允许规则放在前面，再放限制类规则。

一些额外注意事项 #

• Synology的Docker权限要确保开启：在「控制面板 > 终端机和SNMP」里开启SSH，并且确保你用的账号有管理员权限
• 测试配置时，先启动一个简单的容器（比如nginx），ping一下其他网段的设备，检查防火墙规则是否生效
• 如果用macvlan，UniFi里会显示每个容器的MAC地址和IP，方便识别和管理

备注：内容来源于stack exchange，提问作者Brtrnd