Docker容器间通信时源IP显示异常的解决咨询

嗨，我来帮你捋捋这个问题——你遇到的源IP变成网桥网关（172.16.238.1）的情况，本质是Docker自定义桥接网络默认的SNAT（源地址转换）机制在搞鬼。当容器间通信时，如果触发了SNAT规则，Docker会把源容器的IP替换成网桥的网关IP，导致目标容器看不到真实的源IP。下面给你几个可行的解决方向：

• 先确认访问方式是否正确
  首先检查你在service_b里是怎么访问service_a的：如果用的是service_a或者service_a.lan这些别名/容器名，Docker应该会通过内部DNS直接转发流量，保留真实源IP；但如果是直接用172.16.238.20这个IP访问，就可能触发SNAT。你可以先在service_b里执行curl service_a.lan，然后去service_a上抓包验证源IP是否正常。

• 修改Compose网络配置，禁用SNAT
  你可以在自定义网络的配置里添加driver_opts参数，关闭IP伪装（masquerade）功能，这样容器间通信就不会替换源IP了。修改后的networks部分如下：

  networks:
    default_network:
      driver: bridge
      ipam:
        driver: default
        config:
          - subnet: 172.16.238.0/24
      driver_opts:
        com.docker.network.bridge.enable_ip_masquerade: "false"
  

  注意：这个设置会影响容器访问外部网络的能力——如果你的容器需要访问外网，这样配置后容器可能无法通过网关访问外部，这时候你需要额外配置外网访问的路由规则，或者结合其他方式解决。

• 检查并调整iptables规则
  登录你的RockyLinux主机，执行iptables -t nat -L | grep 172.16.238，如果看到带有MASQUERADE或SNAT的规则，那就是导致源IP被替换的直接原因。启用上面的enable_ip_masquerade: "false"后，这条规则会自动消失。

• 重启容器和Docker服务生效
  修改完Compose配置后，先停止所有容器：docker-compose down，再重新启动：docker-compose up -d，确保新的网络配置生效。如果还是有问题，可以尝试重启Docker服务：systemctl restart docker（注意这会停止所有运行中的容器，操作前记得做好备份）。

另外，如果你的容器不需要访问外部网络，也可以在网络配置里加上internal: true，这样网络会变成纯内部网络，容器间通信默认就不会触发SNAT，源IP会直接保留，但容器将无法访问外网。

备注：内容来源于stack exchange，提问作者user3364391