如何为Docker Host网络启用EnableIPv6获取真实IPv6访问地址

首先明确一个已知现象：执行docker network inspect host返回结果中EnableIPv6: false是Docker长期存在的显示bug，不代表host网络实际不支持IPv6。host网络直接复用宿主机网络栈，只要宿主机IPv6栈正常，host模式容器天然支持IPv6，该字段值对host网络无实际参考意义。

你当前Traefik识别到远程IP为172.18.0.1，本质是流量经过了Docker bridge网络的IPv4 NAT转发，并非host网络IPv6未开启，按以下步骤配置即可解决：

1. 验证宿主机IPv6基础环境 #

host模式下容器完全使用宿主机网络，先确认宿主机IPv6配置正常：

• 执行ip -6 addr show查看公网出口网卡配置，确认存在可路由的公网IPv6地址，而非仅fe80::开头的链路本地地址
• 做IPv6公网连通性测试，确认宿主机可正常收发IPv6公网流量，运营商未封禁IPv6入站的业务端口
• 执行ip6tables -S FORWARD确认IPv6转发策略未丢弃公网入站的80、443等业务端口流量

注意：你当前daemon.json中配置的fixed-cidr-v6: "fd00::/64"是ULA私网IPv6网段，该配置仅对默认bridge网络生效，对host网络无任何作用，host网络不需要Docker分配专属IPv6网段。

2. 修正Traefik启动与配置参数 #

出现172.18.0.1地址的核心原因通常是启动参数或监听配置错误：

• 启动host模式的Traefik容器时，不要添加任何-p/--publish端口映射参数。host模式下容器直接监听宿主机端口，添加端口映射会触发Docker userland-proxy转发，将流量绕到bridge网络做NAT，篡改源IP为bridge网关地址。正确启动参数仅需保留--network host即可。
• 检查Traefik入口点配置，确认80、443等业务端口的监听地址为[::]:端口号格式，即同时监听IPv4、IPv6全地址，不要绑定到127.0.0.1或172.17.0.1这类仅IPv4的内网地址。
• 若通过Docker provider自动发现后端业务容器，不要将后端容器单独接入默认bridge网络走NAT转发；需要透传真实源IP的场景，可将后端与Traefik加入同一开启IPv6的自定义网络，关闭转发链路的NAT规则。

3. 调整Docker daemon配置避免流量篡改 #

编辑/etc/docker/daemon.json，添加如下配置关闭干扰项：

{
  "ipv6": true,
  "experimental": true, 
  "ip6tables": true,
  "userland-proxy": false
}

配置完成后执行systemctl restart docker重启Docker服务生效。
同时检查ip6tables规则，删除所有将80、443端口IPv6流量DNAT/REDIRECT到172段内网地址的规则，避免IPv6流量被强制转走IPv4 NAT链路。

验证结果 #

配置完成后重启Traefik容器，通过IPv6地址访问业务，查看Traefik访问日志中的远程地址字段，正常将显示客户端真实公网IPv6地址，不会再出现172段的内网网关地址。

内容的提问来源于stack exchange，提问作者valkyrie_pilot