配置带公网IP的Docker桥接网络后主机失联的解决方法求助

我试图创建一个Docker桥接网络，为容器分配可被互联网解析的公网IP，假设192.168.33.0/24为公网CIDR。

创建网络的命令：

sudo docker network create \
    --driver bridge \
    --subnet=192.168.33.0/24 \
    --gateway=192.168.33.10 \
    --opt "com.docker.network.bridge.name"="docker1" \
    shared_nw

启动容器的命令：

docker run --name container1 --net shared_nw --ip 192.168.33.11 -dt ubuntu

此时主机可以访问192.168.33.11容器及其监听端口，但外部客户端无法访问，符合主机专属桥接的特性。于是我执行了以下命令：

sudo brctl addif docker1 eth1

该操作让容器可以被外部访问，但Docker主机却无法通过任何端口（如SSH）被访问了。请问有什么方法可以保持主机可达，同时让Docker桥接网络能被外部访问？

方法一：调整网桥配置，保留主机公网IP #

问题根源 #

将物理网卡eth1直接添加到docker1网桥后，eth1上原有的IP配置会被自动移除，主机失去192.168.33.0/24网段的IP，导致外部无法访问主机。

修复步骤 #

1. 移除之前添加的网卡：

sudo brctl delif docker1 eth1

2. 将主机的公网IP（示例为192.168.33.12/24）配置到docker1网桥上：

sudo ip addr add 192.168.33.12/24 dev docker1

3. 开启IP转发功能，确保容器流量可通过网桥访问外网：

sudo sysctl -w net.ipv4.ip_forward=1

若要永久生效，将net.ipv4.ip_forward=1写入/etc/sysctl.conf，再执行sudo sysctl -p加载配置。
4. 重启Docker服务确认配置生效：

sudo systemctl restart docker

配置完成后，docker1网桥直接接入公网网段，容器的公网IP可被外部访问，主机通过网桥的IP保持可达。

方法二：使用Docker Macvlan网络（推荐） #

Macvlan是Docker官方专为容器分配物理网段IP设计的网络驱动，不会修改主机原有网卡配置，从根源避免主机失联问题。

操作步骤 #

1. 删除原有桥接网络：

sudo docker network rm shared_nw

2. 创建Macvlan网络：

sudo docker network create \
    --driver macvlan \
    --subnet=192.168.33.0/24 \
    --gateway=192.168.33.10 \
    --opt parent=eth1 \
    shared_nw

3. 启动容器并指定公网IP：

docker run --name container1 --net shared_nw --ip 192.168.33.11 -dt ubuntu

4. （可选）让主机访问Macvlan容器
   Macvlan默认隔离主机与容器通信，若需主机访问容器，需创建Macvlan子接口并配置路由：

# 创建Macvlan子接口
sudo ip link add macvlan_host link eth1 type macvlan mode bridge
# 给子接口配置同网段非冲突IP
sudo ip addr add 192.168.33.13/24 dev macvlan_host
# 启用子接口
sudo ip link set macvlan_host up
# 添加路由，让主机访问容器IP时走子接口
sudo ip route add 192.168.33.11/32 dev macvlan_host

优势 #

• 不改动主机原有网卡IP配置，主机保持正常可达
• 容器直接获得物理网段公网IP，外部可直接访问，无需端口映射
• 网络性能接近物理网卡，适合对延迟敏感的场景

内容的提问来源于stack exchange，提问作者0x4139