为何不同网络的Docker容器可通过网关IP通信，容器IP却不行？

核心误解：Docker用户自定义网络名称全局唯一 #

你以为两个独立Compose文件创建的dnet是两个隔离网络，但Docker的用户自定义网络名称属于全局命名空间——第一个Compose创建dnet后，第二个Compose不会新建同名网络，而是直接复用已存在的dnet网络。也就是说，alpine1和alpine2实际上处于同一个网络中，并非隔离状态。

关于172.18.0.1:8001连通的原因 #

172.18.0.1是dnet网桥在宿主机上的接口IP（Docker bridge网络的网关地址对应宿主机侧的网桥IP），而非容器内部的网关进程。nc -vz返回open，说明宿主机本身有进程在监听8001端口，和alpine1的容器网关无关。

为什么172.18.0.2:8001连接挂起？ #

结合上述网络复用的结论，同一网络内容器无法连通通常是以下原因：

• alpine1未在8001端口启动监听服务：你可能误以为alpine1已开启8001端口的服务，但实际未启动（比如没执行nc -lp 8001这类监听命令）。可以在alpine1内执行ss -tulpn | grep 8001确认是否有进程监听。
• 容器内部防火墙拦截：部分alpine镜像默认启用了iptables规则，可能阻止了8001端口的入站连接。可以在alpine1内临时清空iptables规则验证：iptables -F && iptables -X。
• 宿主机iptables规则干扰：Docker默认会为自定义网络配置允许容器间通信的iptables规则，但如果手动修改过宿主机的iptables，可能破坏了默认规则。可以检查宿主机的filter表中DOCKER-USER链的规则。

关于默认桥接网络的测试 #

默认bridge网络的容器间通信逻辑和自定义网络一致：默认允许IP互通，但如果出现同样的挂起问题，大概率也是上述端口未监听、容器防火墙或宿主机iptables规则的问题。

验证网络隔离的正确方式 #

如果需要让两个容器处于完全隔离的网络，需为每个Compose配置不同名称的自定义网络，比如第一个用dnet-alpine1，第二个用dnet-alpine2，确保Docker创建两个独立的bridge网络。

内容的提问来源于stack exchange，提问作者Kill KRT