为何桥接模式的Docker容器可访问主机网络？

你观察到的现象是Docker bridge网络的默认行为，核心原因在于Docker对bridge网络的路由、NAT及防火墙规则的默认配置：

• 默认路由与SNAT转发：当容器连接到bridge网络时，Docker会为容器分配一个子网内的IP（比如172.17.0.0/16），并设置容器的默认路由指向Docker网桥（如默认的docker0接口）。同时，主机会自动配置SNAT（源地址转换）规则，将容器的出站流量源地址替换为主机的网卡地址，通过主机的网络栈转发出去。这就使得容器能访问所有主机可达的网络——包括本地局域网、VPN网段等。

• 网络隔离的边界误区：你之前对“隔离”的理解有误。Docker bridge网络的默认隔离是阻止外部主动访问容器（除非显式做端口映射），而非限制容器主动向外发起连接。容器作为独立的网络节点，默认拥有主动访问外部网络的权限，这是常规网络栈的默认逻辑。

• iptables与ip_forward的默认配置：Docker会自动修改主机的iptables规则，允许bridge网络的流量通过FORWARD链；同时强制开启主机的net.ipv4.ip_forward参数（设为1），确保主机具备转发跨子网流量的能力。这是容器能跨网络访问的底层基础。

如果需要限制容器对外部网络的访问，可以在创建自定义bridge网络时添加--internal参数，这样容器只能访问同网络内的其他容器，无法连接外部网络；或者手动修改主机的iptables规则，阻断bridge网络到特定网段的流量。

内容的提问来源于stack exchange，提问作者angrybobcat