为何Docker Compose仍创建隐式默认网络？如何隔离容器？

问题背景 #

你在Compose文件中声明了顶层自定义网络my_network，但未将任何服务关联到该网络。执行相关命令后发现，Compose自动创建了compose-tinker_default默认网络，所有服务都部署在这个默认网络上且能正常通信，与你期望的容器相互隔离的结果不符。

你的Compose文件 #

services:
  echo:
    image: busybox
    command: echo 7

  server:
    build: .
    command: server 0.0.0.0:8000
    healthcheck:
      test: /app/compose-tinker poke localhost:8000
      interval: 1s
      retries: 10

  client:
    build: .
    command: client server:8000
    tty: true
    stdin_open: true
    depends_on: 
      server:
        condition: service_healthy

networks:
  my_network: {}

命令执行输出 #

$ docker compose -f compose-7.yaml build --no-cache
$ docker compose -f compose-7.yaml up              
[+] Running 4/0
 ✔ Network compose-tinker_default     Created                                                        0.0s 
 ✔ Container compose-tinker-server-1  Created                                                        0.0s 
 ✔ Container compose-tinker-echo-1    Created                                                        0.0s 
 ✔ Container compose-tinker-client-1  Created                                                        0.0s 
$ docker compose -f compose-7.yaml down
[+] Running 4/0
 ✔ Container compose-tinker-client-1  Removed                                                        0.0s 
 ✔ Container compose-tinker-echo-1    Removed                                                        0.0s 
 ✔ Container compose-tinker-server-1  Removed                                                        0.0s 
 ✔ Network compose-tinker_default     Removed

问题解答 #

该现象是否正常？ #

这是完全正常的Docker Compose默认行为。

Compose的核心规则是：若服务未通过networks字段显式指定要连接的网络，Compose会自动创建一个名为[项目名]_default的默认桥接网络，并将所有未指定网络的服务加入其中。你在顶层定义的my_network仅完成了网络声明，但没有任何服务关联它，因此该自定义网络不会被自动启用，服务仍会默认加入自动创建的默认网络。

如何实现容器隔离？ #

要让容器相互隔离，核心是让不同容器处于不同的网络环境中，常用两种实现方式：

方式1：为每个服务指定独立自定义网络

修改Compose文件，给需要隔离的服务配置独立的网络，也可按业务需求分组隔离：

services:
  echo:
    image: busybox
    command: echo 7
    networks:
      - echo_net  # 单独的隔离网络

  server:
    build: .
    command: server 0.0.0.0:8000
    healthcheck:
      test: /app/compose-tinker poke localhost:8000
      interval: 1s
      retries: 10
    networks:
      - server_client_net  # 与client同组共享网络

  client:
    build: .
    command: client server:8000
    tty: true
    stdin_open: true
    depends_on: 
      server:
        condition: service_healthy
    networks:
      - server_client_net  # 与server同组共享网络

networks:
  echo_net: {}
  server_client_net: {}

此配置下，echo容器单独处于echo_net网络，无法与server/client通信，实现了隔离；而server和client仍可在同一网络内正常交互。

方式2：禁用默认网络，强制使用自定义网络

若要彻底避免默认网络被创建，可在顶层配置networks.default: null禁用默认网络，同时为每个服务显式指定网络：

services:
  echo:
    image: busybox
    command: echo 7
    networks:
      - my_network1

  server:
    build: .
    command: server 0.0.0.0:8000
    healthcheck:
      test: /app/compose-tinker poke localhost:8000
      interval: 1s
      retries: 10
    networks:
      - my_network2

  client:
    build: .
    command: client server:8000
    tty: true
    stdin_open: true
    depends_on: 
      server:
        condition: service_healthy
    networks:
      - my_network2

networks:
  my_network1: {}
  my_network2: {}
  default: null  # 禁用默认网络

这种配置下，Compose不会创建默认网络，所有服务必须显式指定网络，否则启动会报错，从根源上确保容器只能在指定网络内通信。

内容的提问来源于stack exchange，提问作者wouldliketokms