如何通过Docker容器或虚拟机强制特定设备流量经VPN转发并保留PiHole DNS服务

嘿，我来帮你梳理下可行的方案，刚好之前折腾过类似的场景，应该能帮到你！

一、先给你推荐几个实用的Linux网络入门资源 #

不用找那些零散的博客，先啃这些连贯且实用的内容：

• Linux官方文档的网络配置核心章节：重点看IP路由、iptables/NAT的基础原理，搞懂流量从设备到网关再到外网的路径逻辑
• 《Linux Networking Cookbook》里的NAT与VPN路由相关食谱：全是实操性极强的例子，跟着做一遍就能理解核心操作
• iptables官方基础指南：聚焦PREROUTING、POSTROUTING这两个关键链的作用，这是配置转发规则的核心

二、用Docker容器（OpenVPN客户端+路由规则）实现的轻量方案 #

这个方案不用额外装复杂系统，靠Docker就能搞定，步骤如下：

1. 开启Raspberry Pi的IP转发功能
   编辑/etc/sysctl.conf文件，把net.ipv4.ip_forward=1这一行的注释去掉，然后执行sysctl -p让配置立即生效——这是让Pi具备流量转发能力的前提。

2. 启动带路由支持的OpenVPN客户端容器
   推荐用dperson/openvpn-client镜像，它自带iptables配置支持，启动命令如下（记得替换路径和IP）：

   docker run -d \
     --name vpn-client \
     --privileged \
     --cap-add=NET_ADMIN \
     --device=/dev/net/tun \
     --network host \
     -v /你的OpenVPN配置文件目录:/vpn \
     dperson/openvpn-client \
     -f "" -r "192.168.1.10/32"
   

   这里的-r "192.168.1.10/32"是告诉容器只转发这个特定设备的流量到VPN，其他设备的流量不受影响。

3. 配置目标设备的网络参数
   把需要走VPN的设备（192.168.1.10）的网关设置为Raspberry Pi的IP（比如192.168.1.2），DNS依然保留为PiHole的IP——这样设备的DNS请求还是走PiHole，只有上网流量会被Pi转发到VPN。

4. 补充iptables转发规则（可选但推荐）
   在Raspberry Pi上执行以下命令，确保流量能正确转发到VPN接口：

   # 允许来自目标设备的流量转发到VPN虚拟网卡（tun0）
   iptables -A FORWARD -s 192.168.1.10/32 -o tun0 -j ACCEPT
   # 允许VPN返回的流量回到目标设备
   iptables -A FORWARD -d 192.168.1.10/32 -i tun0 -j ACCEPT
   # 配置SNAT，让VPN服务器看到的是VPN容器的IP（避免回包丢失）
   iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
   

   如果你用UFW防火墙，记得编辑/etc/default/ufw，把DEFAULT_FORWARD_POLICY="ACCEPT"，然后重启UFW生效。

三、用VM（OpenWrt虚拟机）的更直观方案 #

如果你觉得Docker的命令和规则有点绕，用OpenWrt虚拟机是更直观的选择——毕竟它本身就是路由器系统：

• 在Raspberry Pi上装KVM虚拟机，跑OpenWrt镜像
• 给OpenWrt分配两个网卡：一个桥接到你的LAN（获取192.168.1.x的IP），一个用于VPN连接
• 在OpenWrt后台配置OpenVPN客户端，然后添加路由规则，仅将来自192.168.1.10的流量转发到VPN
• 同样把目标设备的网关改成OpenWrt虚拟机的LAN IP，DNS保留为PiHole

四、针对你具体问题的解答 #

1. 关于Linux网络学习资源：刚才推荐的内容都是官方或权威的，先从实操入手，别一开始就啃理论，跟着例子配置一遍，慢慢就能理解路由、NAT这些概念。
2. Docker+iptables是否可行：完全可行！刚才的方案就是基于这个思路，只要开启宿主机的IP转发，给容器足够的权限，再配置好规则就行，比装全功能路由器OS轻量多了。
3. 能否通过MAC/IP强制路由：当然可以！
   • 针对IP：刚才的iptables规则就是绑定192.168.1.10的
   • 针对MAC：可以把规则改成绑定MAC地址，比如：

     iptables -A FORWARD -m mac --mac-source AA:BB:CC:DD:EE:FF -o tun0 -j ACCEPT
     

     这样不管设备的IP怎么变，只要MAC地址匹配，就会被转发到VPN——不过要注意，MAC地址只能在LAN内生效，跨路由的话会被替换。

备注：内容来源于stack exchange，提问作者cezarlamann