开启FF_NETWORK_PER_BUILD时Gitlab CI用--network=host是否连主机网络？

1. 该场景下--network=host的实际接入网络 #

你提到的官方示例里的--network=host，接入的并不是GitLab Runner所在的物理宿主机网络，而是当前任务绑定的docker:dind服务容器的网络命名空间：

• 开启FF_NETWORK_PER_BUILD后，GitLab会为当前任务创建专属桥接网络，任务主容器、所有声明的service容器（包括docker:dind、tutum/wordpress）都会自动接入这个专属网络
• 你在CI脚本里执行的所有docker命令，默认连接的是docker:dind服务内置的Docker Daemon，不是宿主机的Docker，所以这里的host网络指的是dind容器自己的网络栈，而dind本身已经在任务专属网络中，所以用--network=host启动的容器自然能访问到同属专属网络的其他service（比如示例里的tutum-wordpress服务）

2. 同时开启专属网络且使用--network=host的适用场景 #

这种写法的核心价值是简化dind内部容器和CI任务侧服务的互通配置，常见适用场景包括：

• 集成测试场景：需要让dind中启动的测试容器直接访问当前CI任务声明的数据库、缓存、后端服务等service，无需手动配置端口映射、网络关联
• 跨容器互通场景：需要让dind内部容器和CI任务主容器互通，比如主容器中启动了临时调试服务、存放了临时测试资源，dind容器可以直接通过网络访问
• 简化配置场景：不想手动查询任务专属网络名称、手动为dind内启动的容器指定接入网络，用--network=host可以快速实现互通，降低配置复杂度

3. 实现全任务容器接入专属网络的建议 #

如果你希望所有dind内创建的容器都直接接入任务专属网络、不使用dind的host网络，可以用以下方法：

1. 脚本中先执行docker network ls过滤出当前任务的专属网络，名称格式一般为job-<任务ID>-network
2. 执行docker run时将--network=host替换为--network=<上述专属网络名称>
3. 调整后所有dind内启动的容器都会直接接入GitLab创建的任务专属网络，隔离性符合要求，同时也能正常访问同任务的所有服务

内容的提问来源于stack exchange，提问作者thebaconator