如何禁止Docker容器访问互联网并限制容器网络配置权限

可通过三层配置完全阻断容器公网访问能力，同时保留同内部网络容器的通信权限，覆盖两类常见绕过路径：

1. 改造默认bridge网络为纯内部网络 #

Docker预置的默认bridge网络无法删除，但可通过修改daemon配置关闭其公网转发能力，编辑配置文件/etc/docker/daemon.json，写入以下内容：

{
  "iptables": true,
  "default-network-opts": {
    "bridge": {
      "com.docker.network.bridge.enable_ip_masquerade": "false",
      "com.docker.network.bridge.enable_icc": "true"
    }
  }
}

配置说明：

• enable_ip_masquerade: false 关闭默认bridge的源地址转换能力，容器流量无法通过主机地址映射访问公网
• enable_icc: true 保留同一bridge下容器的互访权限
  配置完成后执行sudo systemctl restart docker重启Docker服务生效。

2. 限制普通用户的网络操作权限 #

Docker默认的权限模型为全量授权：只要用户拥有/var/run/docker.sock的访问权限（比如被加入docker用户组），就可以执行所有Docker操作，包括创建网络、指定host网络模式，不存在原生的细粒度权限拆分，可通过以下方式约束：

• 不要将普通用户加入docker用户组，容器启动操作通过sudo白名单管控，仅允许用户使用管理员预先创建好的内部网络启动容器，禁止传入自定义--network参数、禁止调用docker network create、docker network connect相关命令，同时明确禁止--network host参数（host模式下容器直接复用主机网络栈，可直接访问公网）。
• 如果必须给用户开放部分Docker操作权限，部署Docker授权插件，编写拦截规则直接阻断带公网访问能力的网络创建、网络连接、host模式容器启动请求。

3. 配置iptables兜底规则，堵死所有绕过路径 #

无论用户创建何种类型的桥接网络，主机侧iptables规则都可以强制阻断容器到公网的流量，假设主机公网出口网卡为eth0，执行以下命令添加规则：

# 阻断所有Docker网桥到公网网卡的转发流量
sudo iptables -I FORWARD -i docker+ -o eth0 -j DROP
# 阻断所有Docker私有网段访问公网的源地址转换规则
sudo iptables -t nat -I POSTROUTING -s 172.16.0.0/12 -o eth0 -j DROP

规则添加后，同网桥下的容器二层互访不经过公网转发链路，完全不受影响；所有尝试访问公网的容器流量会被直接丢弃。如果需要规则永久生效，可安装iptables-persistent工具持久化保存规则。

配置完成后可做简单验证：启动两个连同一网络的容器，互相ping可以通；任意容器ping公网地址（如1.1.1.1）、curl公网站点都会超时，无法建立连接。

内容的提问来源于stack exchange，提问作者NickHayMan