如何限制Apptainer/Singularity容器可访问的网络接口

Apptainer/Singularity完全支持限制容器内可访问的网络接口范围，你提出的「允许容器正常访问互联网、阻断容器对主机部分SocketCAN接口访问」的需求可以直接实现。

默认不带网络参数启动容器时，容器会直接共享主机的整个网络命名空间，主机上所有物理网卡、虚拟网卡、SocketCAN接口都会对容器完全可见，这也是未做配置时容器能直接访问所有CAN接口的原因。

优先推荐用独立网络命名空间的桥接模式实现，配置最简单、隔离性最稳定：

• 启动容器时添加--net参数，容器会自动创建独立的网络命名空间，通过veth虚拟网卡对连接主机侧的Apptainer网桥，默认自带NAT转发规则，容器内可以正常访问互联网，不需要额外配置出网规则。
• 这种模式下，主机侧的所有原生网络接口（包括你需要阻断的SocketCAN类canX接口）默认都不会出现在容器的网络命名空间中，容器内只能看到自身的lo回环接口和桥接生成的虚拟网卡，天然实现对未授权CAN接口的访问阻断。
• 如果你确实需要让容器访问个别特定接口（比如指定的某一个CAN接口，或者其他主机网卡），不需要开放整个主机网络，只需要通过--network-args参数把指定接口移动到容器的网络命名空间即可，未被显式移动的接口容器始终无法访问。

基础启动命令示例：

# 默认桥接模式启动，可正常访问公网，默认看不到主机所有原生接口（含所有SocketCAN接口）
apptainer run --net your_image.sif

如果你有特殊场景必须共享主机网络栈（不能加--net参数），也可以通过cgroup v2的网络过滤规则、或者eBPF访问控制规则，给容器进程添加针对特定CAN接口的流量丢弃规则，不影响容器访问其他网络接口和互联网，但这种方案配置复杂度更高，无特殊需求不推荐使用。

不少使用者对该参数存在误解，几个核心行为明确如下：

• 单独使用--net等价于显式指定--network bridge，即默认的桥接NAT模式，不会阻断容器的互联网访问
• 只有指定--network none时，容器才会处于完全无外网的隔离网络环境
• 除了默认的bridge驱动，该参数还支持指定none、fakeroot等其他网络驱动，适配不同的使用场景

内容的提问来源于stack exchange，提问作者luator