无根Docker环境下如何通过默认网桥网关访问自定义网络内的Nginx容器

我明白你想要在无根Docker环境里实现和有根模式完全一致的网络访问体验，让cmdline容器能通过默认网桥网关（172.17.0.1）访问自定义网络里的Nginx容器，保持开发和生产环境的网络行为统一。咱们先拆解问题的根源，再一步步解决：

问题根源：Rootless与Rootfull Docker的网络差异 #

Rootfull Docker依赖内核态的docker0网桥，系统的iptables会自动处理不同自定义网络和默认网桥之间的路由转发，所以自定义网络内的容器能轻松通过默认网桥网关访问到端口映射的服务。

而Rootless Docker默认使用用户态网络栈（比如slirp4netns），这种模式为了保证隔离性，会限制自定义网络与默认网桥之间的路由连通性，这就是你在Rootless模式下无法用172.17.0.1访问Nginx的核心原因。

解决方案 #

方案一：切换Rootless Docker网络后端为Pasta（推荐长期使用） #

Pasta是新一代的Rootless网络后端，相比slirp4netns更灵活，能自动处理不同网络间的路由转发，完美匹配Rootfull的网络行为：

1. 检查当前网络后端：

   docker info | grep "Network Backend"
   

2. 编辑Rootless Docker的配置文件~/.config/docker/daemon.json（如果没有就新建），添加以下内容：

   {
     "network": {
       "default-address-pools": [
         {"base": "172.17.0.0/16", "size": 24}
       ],
       "backend": "pasta"
     }
   }
   

3. 重启Rootless Docker服务：

   systemctl --user restart docker
   

4. 重新启动你的服务进行测试：

   docker-compose down
   docker-compose up -d nginx
   docker-compose run --rm cmdline
   

   此时在cmdline容器里执行curl 172.17.0.1:8080，就能正常访问Nginx了。

方案二：手动添加路由规则（适合临时测试） #

如果只是临时验证，你可以在cmdline容器启动后手动添加路由规则，打通自定义网络与默认网桥的通路：

1. 先确认自定义网络的网关IP（比如你的routing-docker_default网关是172.28.0.1）
2. 进入cmdline容器后执行：

   ip route add 172.17.0.0/16 via 172.28.0.1
   

3. 之后就能用curl 172.17.0.1:8080访问Nginx了。

注意：这种方式每次启动容器都需要重复操作，不适合长期使用。

方案三：使用Docker服务名访问（更符合Docker最佳实践） #

其实Docker自定义网络默认支持服务名解析，你完全可以跳过IP和网关，直接在cmdline容器里用curl nginx:80访问Nginx服务。这种方式在Rootless和Rootfull模式下都能稳定工作，而且不会因为网络IP变化受影响，是更推荐的Docker服务间通信方式。

备注：内容来源于stack exchange，提问作者p1r4t3