Docker容器访问私有网络设备失败 网络配置排查

• 你当前使用的是Windows/macOS版本的Docker Desktop，而非原生Linux部署的Docker Engine：从host模式下容器内eth0地址为192.168.65.3可以确认，该地址是Docker Desktop内置轻量虚拟机的专属虚拟网段，所有容器实际运行在这层虚拟机内，和宿主机所在的物理私有网络之间默认隔了一层NAT，没有直接二层连通。
• host网络模式下出现WARNING: Published ports are discarded when using host network mode是正常提示：host模式会让容器直接共享Docker运行环境的网络栈，不需要额外做端口映射，因此传入的端口映射参数会被直接丢弃。但Docker Desktop的host模式共享的是内置虚拟机的网络栈，并非宿主机物理网卡的网络栈，自然无法直接访问物理网段的10.112.65.3设备。
• 之前创建macvlan网络的操作存在两处核心错误：
  • 同时传入-d macvlan和--driver=bridge参数，二者冲突，最终创建的网络并非预期的macvlan网络
  • 指定父网卡为容器内部的eth0（对应192.168.65.0/24虚拟网段），该网卡并未直连物理10.112.65.0/16私有网络，即便参数正确也无法连通物理设备。

根据实际需求二选一即可：

方案1：仅要求容器能访问私有网络设备，不需要独立物理IP #

该方案操作最简单，无需自定义网络驱动：

• 先删除之前创建的错误网络：docker network rm demo_net
• 直接使用默认bridge网络启动容器即可，Docker Desktop默认已配置好物理网络的NAT转发规则，容器可通过宿主机的转发访问所有物理网段设备：

docker run --name DemoTest --entrypoint /bin/bash -it Demo_Test

• 启动后先验证容器到宿主机物理网卡IP的连通性，再ping 10.112.65.3即可正常通信。

方案2：要求容器获取10.112.65.0/16网段的独立物理IP，和内网设备二层直连 #

由于Docker Desktop的容器运行在嵌套虚拟机内，原生macvlan驱动无法直接关联宿主机物理网卡，需要按以下步骤配置：

1. 清理之前错误创建的网络：docker network rm demo_net
2. 创建macvlan网络时，parent参数必须指定为宿主机上连接10.112.65.0/16网段的物理网卡名（Windows对应以太网/WLAN网卡，macOS对应en0/en1等接内网的网卡），不要加冗余的--driver=bridge参数：

docker network create -d macvlan \
  --subnet=10.112.65.0/16 \
  --ip-range=10.112.65.0/24 \
  --gateway=10.112.65.1 \
  -o parent=<替换为宿主机物理内网网卡名> \
  demo_net

3. 注意--ip-range指定的地址段需要和内网DHCP地址池错开，避免IP冲突，之后指定固定IP启动容器：

docker run --name DemoTest --net=demo_net --ip=10.112.65.103 --entrypoint /bin/bash -it Demo_Test

4. 如果使用Windows版Docker Desktop，需要提前在设置-Resources-Network中开启混杂模式，否则macvlan流量会被系统拦截。

• Windows/macOS版Docker Desktop的host网络模式和Linux版Docker Engine行为不一致，前者共享的是内置虚拟机的网络栈，而非宿主机物理网络栈，无法通过host模式直接获取物理网络访问权限。
• 创建自定义网络时，-d参数已经用于指定网络驱动，不要重复传入--driver参数指定其他驱动，避免配置冲突。

内容的提问来源于stack exchange，提问作者Henrique