如何通过Docker Compose添加静态路由及权限问题排查

两种执行方式失败的原因 #

1. Dockerfile中RUN指令执行失败 #

RUN是在镜像构建阶段运行的，此时容器还未被分配到目标桥接网络（net0/net1_vpn），也没有独立的网络命名空间，不存在对应的网络接口和路由表环境。另外，NET_ADMIN是容器运行时通过cap_add赋予的权限，和构建阶段完全无关，因此必然抛出"Operation not permitted"错误。

2. docker-compose command字段直接执行失败 #

直接把路由命令写在command里会触发两个问题：

• 这条命令执行完成后会立即退出，导致容器启动后马上停止，表现为"无法启动"；
• 容器启动初期网络接口可能未完全初始化，此时执行ip route会因找不到目标网关（172.30.30.2）失败；
• 若容器默认启动用户权限不足（即使Dockerfile设了USER root，部分基础镜像仍可能有特殊配置），也会触发权限错误。

容器内配置自定义路由的标准方案 #

方案一：使用启动脚本（Entrypoint） #

编写自定义启动脚本，先完成路由配置，再执行容器原启动命令，确保路由在网络就绪后生效，且容器能持续运行：

1. 在Dockerfile中添加脚本：

# 替换为你的容器原启动命令，示例为nginx
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh
ENTRYPOINT ["entrypoint.sh"]
CMD ["nginx", "-g", "daemon off;"]

2. 编写entrypoint.sh脚本：

#!/bin/bash
# 添加静态路由
ip route add 192.168.0.0/16 via 172.30.30.2
# 执行原启动命令，保证容器持续运行
exec "$@"

3. docker-compose中保留cap_add: - NET_ADMIN配置即可，无需修改command。

方案二：通过Docker网络配置自动注入路由（推荐） #

无需在容器内执行任何命令，直接在docker-compose的网络配置中添加路由规则，所有连接到该网络的容器会自动继承这条路由：

networks:
    net0:
        driver: bridge
        name: net0
        ipam:
            config:
                - subnet: 172.20.0.0/16
                  gateway: 172.20.0.1
    net1_vpn:
        driver: bridge
        name: net1_vpn
        ipam:
            config:
                - subnet: 172.30.30.0/24
                  gateway: 172.30.30.1
                  routes:
                      - to: 192.168.0.0/16
                        via: 172.30.30.2

这种方式是在Docker网络层面配置路由，无需依赖容器的NET_ADMIN权限，所有接入net1_vpn的容器启动后自动生效路由规则。

内容的提问来源于stack exchange，提问作者Adam Mirowski