如何为单个Docker容器分配公网IP并配置对应桥接网络

• 先确认你的宿主机物理网卡已接入公网网段，持有的公网IP为可路由状态，对应网关、DNS信息正确，且公网IP的80端口未被运营商限制。
• 宿主机需开启IP转发，执行sysctl -w net.ipv4.ip_forward=1临时生效，将net.ipv4.ip_forward = 1写入/etc/sysctl.conf可永久生效。

macvlan是Linux内核原生支持的虚拟网络技术，可直接给容器分配物理网段的公网IP，容器网络和宿主机处于同层级，不需要端口映射即可直接对外访问。

1. 先查看宿主机物理网卡名称，执行ip addr即可获取，常见名称为eth0/ens33/enp0s3等。
2. 执行以下命令创建macvlan桥接网络，替换尖括号内的参数为你自己的配置：

docker network create -d macvlan \
  --subnet=<你的公网网段CIDR，例如110.12.13.0/24> \
  --gateway=<你的公网网关，例如110.12.13.1> \
  --ip-range=<你要分配给容器的公网IP段，例如110.12.13.100/25> \
  -o parent=<宿主机物理网卡名称> \
  public_macvlan

3. 启动容器时指定该网络并分配固定公网IP：
   docker run -d --network public_macvlan --ip <你指定的公网IP> nginx
   启动完成后容器即可直接通过绑定的公网IP对外提供80端口服务。

如果你只有零散的公网IP已经绑定在宿主机上，没有整段可分配的公网网段，可以用该方案：

1. 创建自定义桥接网络，避免和Docker默认的172.17.0.0/16网段冲突：
   docker network create --subnet=172.18.0.0/16 custom_bridge
2. 启动容器时指定静态内网IP：
   docker run -d --network custom_bridge --ip 172.18.0.10 nginx
3. 配置iptables NAT规则，把公网IP的所有流量映射到对应容器的内网IP：

iptables -t nat -A PREROUTING -d <你的公网IP> -j DNAT --to-destination <容器内网IP>
iptables -t nat -A POSTROUTING -s <容器内网IP> -j SNAT --to-source <你的公网IP>

配置完成后即可通过绑定的公网IP直接访问容器的80端口。

• macvlan模式下默认宿主机无法直接和容器通信，如需通信需要额外给宿主机配置macvlan子接口。
• 所有分配给容器的公网IP需要确认未被其他设备占用，否则会出现IP冲突导致网络不通。
• 如果你使用的是云服务器，需要先在云服务商控制台开启IP的桥接权限，大部分云厂商默认禁止普通用户直接通过macvlan绑定公网IP。

内容的提问来源于stack exchange，提问作者JJMeliodax