Mac Docker主机可访问内网虚拟机IP但运行的Docker容器无法连通该如何排查解决？

根因说明 #

Mac Docker Desktop 底层依赖隐藏的 Linux 虚拟机运行 Docker 服务，和 Linux 环境下 Docker 直接使用宿主机内核网络栈的逻辑完全不同：

• macOS 侧通过 VPN 接入的内网路由规则默认不会同步到 Docker 后台虚拟机
• --network host 参数仅让容器共享后台 Linux 虚拟机的网络栈，而非 macOS 宿主机的网络栈，因此该参数对解决该问题无效

排查步骤 #

• 进入问题容器执行 ip route，确认容器路由表中是否存在目标内网虚拟机所属网段的路由条目
• 执行命令 docker run -it --privileged --pid=host debian nsenter -t 1 -m -u -n -i sh 进入 Docker 后台隐藏虚拟机，直接 ping 目标内网IP，确认连通性异常是出现在虚拟机层面而非容器配置层面
• 在 macOS 终端执行 netstat -rn | grep utun 查看 VPN 路由，确认目标内网网段的流量是走 VPN 接口转发

解决方法 #

方案1：全局网段同步（推荐） #

1. 打开 Docker Desktop 控制台，进入 Settings > Resources > Network 配置页
2. 在「Docker subnet」配置项中添加你需要访问的内网虚拟机所属的完整网段，保存后 Docker 会自动将该网段的路由同步到后台虚拟机
3. 如果内网有专用 DNS 服务器，也可以在同一页面的「Manual custom DNS servers」配置中填入内网DNS地址，避免域名解析异常
4. 重启 Docker 服务和容器后即可正常访问内网资源

方案2：单容器路由注入 #

如果不需要全局配置，可单独为目标容器配置路由：

1. 启动容器时添加NET_ADMIN权限：docker run -d --cap-add=NET_ADMIN your-image-name
2. 进入容器执行路由添加命令：ip route add 192.168.0.0/16 via 192.168.65.1 dev eth0，将其中的192.168.0.0/16替换为你的内网虚拟机网段，192.168.65.1为Mac Docker默认的宿主机网关地址

方案3：宿主机中转 #

如果仅需要访问少量固定IP/端口，可以直接通过host.docker.internal域名（容器内默认解析到 macOS 宿主机）中转请求，由 macOS 侧代理转发到内网虚拟机。

内容的提问来源于stack exchange，提问作者rokpoto.com