如何让容器（含嵌套容器）默认通过企业代理路由所有流量？

可以实现，以下是几种实用方案，根据你的场景选择：

方案一：配置父容器内Docker守护进程级代理 #

如果嵌套容器是由父容器内的Docker守护进程创建的，直接给Docker daemon配置代理，所有由它启动的容器会自动应用代理规则，且不会将代理环境变量写入最终镜像。

1. 在父容器内创建/修改Docker daemon配置文件 /etc/docker/daemon.json：

{
  "proxies": {
    "default": {
      "httpProxy": "http://你的企业代理地址:端口",
      "httpsProxy": "http://你的企业代理地址:端口",
      "noProxy": "localhost,127.0.0.1,内部域名或IP段"
    }
  }
}

2. 重启父容器内的Docker守护进程：

systemctl restart docker

如果父容器使用docker-in-docker模式，直接重启父容器即可生效。

方案二：父容器内设置透明代理（iptables转发） #

通过iptables规则将父容器及嵌套容器的所有出站流量转发到企业代理，无需修改容器或Docker配置。

1. 启动父容器时必须添加NET_ADMIN权限：

docker run --cap-add=NET_ADMIN ...  # 其他启动参数

2. 在父容器内执行以下iptables命令：

# 转发HTTP流量到代理
iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-destination 你的企业代理地址:端口
# 转发HTTPS流量到代理
iptables -t nat -A OUTPUT -p tcp --dport 443 -j DNAT --to-destination 你的企业代理地址:端口
# 排除本地及内部地址的流量（按需调整）
iptables -t nat -A OUTPUT -d localhost/32 -j RETURN
iptables -t nat -A OUTPUT -d 127.0.0.0/8 -j RETURN
iptables -t nat -A OUTPUT -d 内部IP段/24 -j RETURN

注意：需确保你的企业代理支持透明代理模式，若不支持可在父容器内部署轻量代理（如squid）做中转。

方案三：Packer构建阶段临时设置代理并清理 #

如果仅需构建过程中联网，可在Packer模板中临时设置代理，构建完成后立即清理，避免污染最终镜像。

在Packer HCL模板中添加shell provisioner：

build {
  sources = ["source.docker.nested"]

  provisioner "shell" {
    inline = [
      # 临时设置代理用于构建
      "export http_proxy=http://你的企业代理地址:端口",
      "export https_proxy=http://你的企业代理地址:端口",
      # 执行构建操作（例如安装依赖）
      "apt-get update && apt-get install -y 依赖包名",
      # 清理代理环境变量
      "unset http_proxy https_proxy",
      # 可选：清理apt等工具的代理配置
      "rm -f /etc/apt/apt.conf.d/proxy.conf"
    ]
  }
}

内容的提问来源于stack exchange，提问作者Sakshith D