如何配置Docker容器特定流量路由与跨子网容器隔离访问

阿华AIGC实验室

2026-5-19

我来帮你解决这两个Docker网络配置问题，都是日常运维里很常见的场景，咱们一步步拆解：

问题1：将内部网络Docker容器的特定流量路由到主机局域网目标地址

要实现这个需求，核心是让主机充当容器与局域网目标之间的路由转发节点，具体步骤如下：

第一步：开启主机IP转发功能
Docker容器的跨网络流量转发依赖主机的IP转发能力，先临时开启：
```
echo 1 > /proc/sys/net/ipv4/ip_forward
```
如果需要永久生效，编辑/etc/sysctl.conf文件，添加或修改：
```
net.ipv4.ip_forward=1
```
执行sysctl -p让配置立即生效。
第二步：给容器/网络添加静态路由
假设你的容器在自定义内部网络my-internal-net（子网172.20.0.0/16，网关172.20.0.1，这个网关对应主机上的虚拟网卡地址），需要路由的目标局域网是192.168.1.0/24：
- 若用docker run启动容器，可直接在命令中添加路由规则：
```
docker run --name my-container --network my-internal-net --route 192.168.1.0/24=172.20.0.1 ...
```
- 若已创建网络，想让所有接入该网络的容器都生效，可在连接容器时指定路由：
```
docker network connect --route 192.168.1.0/24=172.20.0.1 my-internal-net my-container
```

第三步：配置主机防火墙规则
确保主机防火墙允许容器子网与目标局域网的流量转发：

# 允许容器子网到目标局域网的出站流量
iptables -A FORWARD -s 172.20.0.0/16 -d 192.168.1.0/24 -j ACCEPT
# 允许目标局域网到容器子网的回包流量
iptables -A FORWARD -s 192.168.1.0/24 -d 172.20.0.0/16 -j ACCEPT

如果你用firewalld，可通过添加富规则或直接允许转发来实现。

问题2：Docker Compose中让两个容器同访外部但互隔子网

这个需求用Docker原生的自定义网络就能完美解决，核心思路是给两个容器分配完全独立的自定义bridge网络——Docker默认会隔离不同的自定义bridge，容器间无法通信；同时每个网络的网关指向主机，确保容器能通过主机访问外部服务器。

示例Docker Compose配置

version: '3.8'

services:
  container1:
    image: alpine:latest
    command: ping -t your-external-server-ip  # 替换成主机可访问的服务器IP/域名
    networks:
      - net1

  container2:
    image: alpine:latest
    command: ping -t your-external-server-ip
    networks:
      - net2

networks:
  net1:
    driver: bridge
    ipam:
      config:
        - subnet: 172.21.0.0/16
  net2:
    driver: bridge
    ipam:
      config:
        - subnet: 172.22.0.0/16

配置说明

网络隔离特性：两个容器分别归属net1和net2，Docker的自定义bridge默认相互隔离，因此container1无法ping通container2，反之亦然。
外部访问能力：每个自定义网络的网关默认是主机上的虚拟网卡地址，只要主机能访问目标服务器，容器就能通过网关转发流量到外部，满足ping通需求。

效果验证：启动后可进入容器测试：

# 进入container1，尝试ping container2的IP（比如172.22.0.2），会失败
docker exec -it container1 ping 172.22.0.2
# 尝试ping外部服务器，会成功
docker exec -it container1 ping your-external-server-ip