Docker禁用容器间通信后，如何实现特定容器通信并解决子网限制？

1. 扩展Docker可用子网网段范围 #

当icc=false时，默认仅开放172.17.0.0/16至172.31.0.0/16共16个/16网段，无法满足数百个网络的需求。你可以通过修改Docker daemon配置来扩容可用网段：

• 编辑Docker配置文件（通常为/etc/docker/daemon.json），添加自定义地址池配置：

  {
    "default-address-pools": [
      {"base": "10.0.0.0/8", "size": 24},
      {"base": "192.168.0.0/16", "size": 24}
    ],
    "icc": false
  }
  

  这里使用10.0.0.0/8和192.168.0.0/16两个大网段，每个子网分配/24的掩码，仅10.0.0.0/8就能生成65536个独立子网，完全覆盖数百个网络的需求。
• 修改完成后重启Docker服务：systemctl restart docker

2. 按通信需求分组创建自定义网络 #

icc=false是全局禁用跨网络的容器通信，但同一自定义网络内的容器默认可以正常通信，无需给每个容器单独建网络：

• 将需要互相通信的容器归为一组，放到同一个自定义网络中；不需要通信的容器则放入独立网络或通用隔离网络。
• 创建自定义网络命令示例：docker network create --subnet=10.1.0.0/24 service-group-01，子网可手动指定，也会自动从配置的地址池中分配。

3. 替代link的安全跨网络通信方案 #

弃用link后，可通过以下两种安全方式实现少量跨网络容器通信：

• 端口映射+防火墙规则：给需要被访问的容器映射端口，再用iptables限制仅指定容器IP可访问该端口。例如：

  # 只允许容器B的IP访问容器A映射的8080端口
  iptables -A INPUT -p tcp --dport 8080 -s <容器B的IP> -j ACCEPT
  iptables -A INPUT -p tcp --dport 8080 -j DROP
  

• 网络别名+DNS解析：给目标容器在访问方的网络中添加别名，实现跨网络访问。例如：

  # 创建两个独立网络
  docker network create net-web
  docker network create net-db
  # 启动数据库容器在net-db网络
  docker run -d --name mysql-db --network net-db mysql
  # 将数据库容器连接到net-web网络并添加别名
  docker network connect --alias db-access net-web mysql-db
  # 网页容器在net-web中可通过db-access访问数据库
  docker run --rm --network net-web busybox ping db-access
  

4. 优化网络资源占用 #

若需创建数百个独立网络，注意以下两点减少资源浪费：

• 每个自定义网络会占用少量iptables规则、网桥设备等资源，使用/24这类小子网掩码，数百个网络对现代服务器无明显性能影响。
• 定期清理闲置网络：docker network prune，自动删除未被任何容器使用的网络。

内容的提问来源于stack exchange，提问作者DullJZ