不使用--privileged如何在Docker容器内控制互联网连通状态？

以下方案均不需要--privileged全特权权限，也不依赖Playwright的模拟网络API，适配你使用的playwright:focal镜像环境：

方案1：基于NET_ADMIN权限修改iptables规则 #

该方案效果和原ifconfig eth0 down/up完全一致，对应用无侵入，仅需要添加最小必要权限，绝大多数CI平台都支持：

• 启动容器时追加--cap-add NET_ADMIN参数，该权限仅开放网络配置相关能力，远低于全特权模式的安全风险，不会触发常规CI的安全拦截规则
• 完全断网命令：iptables -A OUTPUT -j DROP，该规则会丢弃所有容器发出的出站流量，模拟完全断网效果
• 保留本地回环的断网命令：如果需要保留127.0.0.1的本地服务访问，执行iptables -A OUTPUT -d 127.0.0.0/8 -j ACCEPT && iptables -A OUTPUT -j DROP
• 恢复网络命令：iptables -D OUTPUT -j DROP，删除对应规则即可立即恢复网络连通性

方案2：修改系统代理配置实现逻辑断网 #

如果CI不允许添加任何额外capability，可使用该无权限依赖方案：

• Electron应用默认会遵从系统级的HTTP/HTTPS代理配置，通过设置无效代理即可模拟断网效果，不需要修改任何测试代码
• 断网操作执行如下命令：

export http_proxy=http://127.0.0.1:65535
export https_proxy=http://127.0.0.1:65535
export no_proxy=localhost,127.0.0.1

• 恢复网络操作执行：unset http_proxy https_proxy no_proxy即可还原原有网络配置
• 如果应用本身配置了独立代理规则，可在Playwright测试代码中直接调用Electron的session.setProxyAPI设置无效代理，效果一致

方案3：修改/etc/hosts拦截特定域名访问 #

如果测试仅需要阻断特定公网域名的访问，可使用该最轻量方案，无任何权限依赖：

• 非特权容器默认拥有/etc/hosts写入权限，直接将目标域名指向无效地址即可模拟访问失败效果
• 断网示例：echo "127.0.0.1 your-target-api.com" >> /etc/hosts，此时所有对该域名的请求都会指向本地不存在的服务
• 恢复操作：删除/etc/hosts中追加的对应行即可恢复正常解析

方案选择建议 #

• 优先选方案1，效果最贴近真实物理断网，适配所有测试场景
• CI不允许加NET_ADMIN权限时选方案2，适配全断网场景
• 仅需要阻断特定域名时选方案3，操作最简单

内容的提问来源于stack exchange，提问作者Jake He