容器无NAT扩缩容：为实例分配独立可访问公网IP方案咨询

所有方案均不需要修改遗留应用代码，兼容Linux、Windows容器运行环境，容器直接持有物理网络可路由的独立IP，无需端口映射即可支持远端主动TCP回连。

二层直连网络（零改造成本，小规模部署首选） #

• Linux环境使用macvlan驱动，Windows环境使用对应transparent驱动创建容器网络，直接将容器接入宿主机所在的物理二层网络，流量不经过宿主机NAT转发。
• 容器可通过物理网络DHCP自动获取IP，也可手动指定静态IP，IP和宿主机属于同一二层广播域，可被全网段直接访问。
• 启动容器时不需要配置任何端口映射规则，容器内直接监听硬编码的固定端口即可，远端服务器访问容器IP+硬编码端口的逻辑和访问普通虚拟机完全一致。
• 前置检查：确认物理接入交换机开启了端口多MAC地址放行（多数交换机默认支持，部分严格管控的企业网络需要提前调整端口安全配置）。
• 参考配置命令：
  • Linux创建macvlan网络：

    docker network create -d macvlan \
      --subnet=10.0.0.0/24 \
      --gateway=10.0.0.1 \
      -o parent=eth0 app-macvlan-net
    

  • Windows创建transparent网络：

    docker network create -d transparent `
      --subnet=10.0.0.0/24 `
      --gateway=10.0.0.1 app-transparent-net
    

  • 启动容器时直接指定网络和IP即可，无需加-p/-P端口映射参数：

    docker run --network app-macvlan-net --ip 10.0.0.10 your-app-image
    

IPvlan网络（适配交换机端口MAC限制场景） #

• 如果物理交换机配置了严格的端口安全规则，禁止单个接入端口对应多个MAC地址，Linux环境可替换为ipvlan L2模式驱动，Windows Server 2022及以上版本也原生支持该驱动。
• 该模式下所有容器共享宿主机物理网卡的MAC地址，仅通过IP区分不同容器的流量，依然是二层直连物理网络，无NAT转换，容器独立IP全网可达，对上层TCP应用完全透明，不需要修改任何配置。

Underlay编排网络（大规模扩缩容场景首选） #

• 若需要批量管理数十个以上容器实例、支持自动扩缩容，使用容器编排平台时直接选择Underlay模式的网络插件即可：
  • Linux环境可选Macvlan CNI、Kube-OVN等Underlay类型插件
  • Windows环境可配置win-bridge插件为直接暴露容器IP模式
• 这类插件会自动为每个容器实例分配物理网络可路由的独立IP，流量不经过平台层NAT转发，原生支持固定端口监听、外部主动回连的需求，可对接现有IPAM系统实现IP地址自动分配回收。

注意：默认的Bridge、NAT模式容器网络无法满足需求，这类模式下容器仅持有宿主机内部私有IP，对外通信经过SNAT转换，外部主动访问必须配置静态端口映射，无法支持多实例同时监听相同硬编码端口的场景。

内容的提问来源于stack exchange，提问作者lubosevov