Windows环境下Docker容器内pip网络访问限制方案咨询

可行性说明 #

完全拦截容器内pip的所有网络访问是可行的，通过Docker网络策略或Windows防火墙规则均可实现，只要配置覆盖容器的网络流量路径即可。

Docker网络层面配置（推荐） #

通过创建内部隔离网络，彻底切断容器与外部网络的连接，是最直接的方式：

• 创建内部网络：

  docker network create --driver nat --internal restricted-pip-net
  

  --internal 参数会禁用该网络的外部访问能力，容器接入后无法和任何外部地址通信。
• 启动容器时使用该网络：

  docker run -it --network restricted-pip-net mcr.microsoft.com/windows/nanoserver:1809
  

• 针对已运行的容器，可切换网络：

  # 断开原有nat网络
  docker network disconnect nat <容器名称/ID>
  # 连接到隔离网络
  docker network connect restricted-pip-net <容器名称/ID>
  

Windows防火墙层面配置 #

如果需要通过主机防火墙实现拦截，需确保规则覆盖容器的IP范围及Hyper-V虚拟网卡流量：

1. 打开「Windows Defender防火墙高级设置」，新建出站规则：
   • 规则类型选择「自定义」，点击下一步。
   • 程序选择「所有程序」（因容器内程序路径无法直接被主机防火墙识别），点击下一步。
   • 协议和端口保持「任何」，点击下一步。
   • 作用域设置：
     • 本地IP地址：选择「下列IP地址」，添加Docker nat子网（可通过docker network inspect nat查看Subnet字段，默认多为172.17.0.0/16）。
     • 远程IP地址：选择「任何IP地址」，点击下一步。
   • 操作选择「阻止连接」，点击下一步。
   • 配置文件勾选「域、专用、公网」（根据实际环境调整），点击下一步。
   • 命名规则（如「Block Docker Container Outbound All」），完成创建。
2. 补充虚拟网卡规则：
   针对Docker使用的Hyper-V虚拟网卡（通常名为vEthernet (DockerNAT)），创建同样的出站拦截规则，确保流量不会绕过主机防火墙。

关于之前规则失效的可能原因 #

之前的防火墙规则未生效，大概率是以下问题：

• 规则未覆盖容器实际使用的IP子网（比如Docker动态分配了非默认的子网）。
• 规则优先级低于已存在的允许类规则。
• 未针对Hyper-V虚拟网卡设置规则，容器流量通过虚拟网卡绕过了主机的通用规则。

内容的提问来源于stack exchange，提问作者Blumy