如何在Unraid上实现Docker自定义桥接网络的VLAN出站流量隔离

我之前也碰到过类似的坑，Docker自带的iptables规则优先级确实容易让人踩雷——你之前用-A追加的DROP规则没生效，大概率是因为Docker默认会把允许容器访问外部的规则加到FORWARD链最前面，你的限制规则被排在了后面，根本没机会被匹配到。结合你的场景，我给你一套主机层面的可行方案，不用折腾MACVLAN或者路由器防火墙：

先明确关键参数（避免规则写错） #

• 自定义Docker桥接子网：10.99.99.0/24
• 允许出站的VLAN接口：br.10（对应VLAN10的10.x.x.0/24子网）
• 需要拦截的Untagged接口：br0（对应192.168.x.0/24子网）

核心iptables规则配置 #

我们需要把限制规则插入到FORWARD链的最前端（用-I而非-A），确保Docker的默认允许规则不会覆盖我们的限制：

1. 拦截自定义桥接子网所有流量访问br0接口

iptables -I FORWARD -s 10.99.99.0/24 -o br0 -j DROP

2. 显式允许自定义桥接子网流量访问br.10接口

iptables -I FORWARD -s 10.99.99.0/24 -o br.10 -j ACCEPT

3. 允许br.10的回程流量进入自定义桥接子网（不然容器发起的请求收不到响应）

iptables -I FORWARD -d 10.99.99.0/24 -i br.10 -j ACCEPT

4. 确保自定义桥接内部的容器通信不受影响（Docker默认会处理，但加这条更保险）

iptables -I FORWARD -s 10.99.99.0/24 -d 10.99.99.0/24 -j ACCEPT

验证规则是否生效 #

1. 进入任意一个自定义桥接内的容器，尝试ping br0子网的IP（比如192.168.x.1），应该无法连通

docker exec -it <你的容器名> ping 192.168.x.1

2. 再ping br.10子网的IP（比如10.x.x.1），应该能正常连通

docker exec -it <你的容器名> ping 10.x.x.1

持久化规则（避免Unraid重启后丢失） #

Unraid重启后iptables规则会重置，所以需要把这些命令添加到开机自启脚本里：

• 编辑/boot/config/rc.local文件，把上面的4条iptables命令复制进去
• 保存后，下次重启Unraid时规则会自动加载
• 如果你用了Unraid的Firewall插件，也可以在插件里添加这些规则，管理起来更直观

为什么不用MACVLAN？ #

完全理解你的顾虑——MACVLAN会把容器直接暴露在VLAN10的子网里，不仅要固定IP，还得给每个容器单独加防火墙规则，维护成本太高。这个方案完全在主机层面做限制，既保留了自定义桥接的内部隔离性，又精准控制了出站流量的路径，不需要改动现有容器的任何配置。

备注：内容来源于stack exchange，提问作者Jameson_uk