如何通过Docker Compose隔离容器与本地网络但保留互联网访问

你给出的配置里internal: true会让网络完全封闭，容器既连不上互联网也无法和外部网络通信，不符合你的需求。下面是最简单的纯Docker Compose解决方案：

services:
  # 替换成你的实际服务配置
  your_app:
    image: nginx:alpine  # 示例镜像
    networks:
      - isolated_net

networks:
  isolated_net:
    ipam:
      config:
        - subnet: 10.10.0.0/24  # 选一个和192.168.0.x不重叠的私有网段

关键说明： #

• 这个网络没有设置internal: true，Docker会自动为其配置NAT规则，容器能正常访问互联网。
• 自定义的10.10.0.0/24子网和你的本地192.168.0.x网段无重叠，默认情况下容器无法直接访问本地192.168.0.x的设备（Docker默认不会路由到该网段），实现隔离。
• 容器的出站请求会通过主机NAT转换为主机IP，不影响互联网访问。
• 如果有多个容器需要互相通信，只要都连接到isolated_net网络即可。

注意事项： #

• 可以替换子网为其他未被占用的私有网段，比如172.20.0.0/24，只要避开192.168.0.x就行。
• 全程不需要配置iptables、代理或其他额外工具，仅靠Docker Compose就能完成。

内容的提问来源于stack exchange，提问作者user5698387