如何编写Dockerfile使构建的Docker镜像默认无法连接网络

结论先行：你无法仅通过Dockerfile实现「基于该镜像启动的容器始终强制禁用网络」的效果。

核心原因 #

Dockerfile仅能定义镜像构建阶段的静态内容：包括文件系统内容、环境变量、默认启动命令、构建期的执行逻辑等，它没有权限干预容器运行时（runtime）的核心配置。
容器的网络模式属于运行时级别的参数，只能在docker run/docker create阶段，或者docker-compose、容器编排配置中指定，优先级远高于镜像内的所有预设，Dockerfile不存在可以强制覆盖运行时网络配置的指令。

注意：不要混淆构建期网络和运行期网络。即便你在Dockerfile中调整了构建过程（docker build执行时）的网络策略，该配置也只会作用于构建阶段，对后续启动的容器完全无效。

非强制的替代实现方案 #

你可以在Dockerfile中添加部分配置，让容器在默认启动参数下无法联网，但这些配置都可以被启动参数覆盖，无法做到100%强制断网：

• 基于Ubuntu镜像构建时，清除网络相关配置、移除常用网络工具：

FROM ubuntu:22.04
# 清空DNS解析配置
RUN : > /etc/resolv.conf && \
    # 尝试删除默认路由（无网络工具时会自动跳过）
    ip route del default 2>/dev/null || true && \
    # 卸载基础网络工具，降低意外联网可能性
    apt update && apt remove -y --purge iproute2 curl wget net-tools && \
    apt autoremove -y && apt clean
# 这里添加你的业务镜像自定义配置

• 编写默认入口脚本，在容器启动时自动执行断网操作，但如果用户启动时加了--privileged特权参数、或者重写了entrypoint启动入口，该逻辑会直接失效。

可靠的强制断网方案 #

如果要保证容器启动后100%无网络连接，必须在运行时指定网络参数，你可以通过封装降低操作成本：

• 把--network none参数写死在容器启动脚本中，避免手动输入遗漏
• 如果使用docker-compose管理容器，直接在服务配置中添加network_mode: none，启动时会自动应用无网络配置
• 如果是批量管理容器，可以通过Docker守护进程的规则、或者网络策略限制容器出站流量，实现全局管控

内容的提问来源于stack exchange，提问作者auto_driving_q