1. Docker 网络基础与容器无网络访问问题解析
Docker 容器默认应具备网络访问能力，尤其在宿主机本身联网的情况下。但在实际开发中，我们常会遇到容器无法访问外网的问题，这会直接导致无法安装包、无法访问 API、ping 外网失败等。
本文将从 Docker 网络机制入手，分析常见原因，并提供几种有效的排查与修复方法。
2. Docker 是如何为容器提供互联网访问的
Docker 通过虚拟桥接网络（如 docker0）将容器连接到宿主机，并借助 NAT（网络地址转换）和 iptables 实现容器对外通信。
具体流程如下：
- 容器启动时会分配一个私有 IP 地址
- 所有出站流量通过虚拟桥接网络
- Docker 利用 NAT 和 iptables 规则将流量转发到宿主机的网络接口，从而访问互联网
正常情况下这套机制运行良好，但在某些配置错误或环境变更下，可能出现容器无法访问外网的情况。
3. 容器无法访问互联网的常见原因
以下是几种常见的导致容器无法联网的原因：
✅ DNS 配置错误：容器无法解析域名
✅ iptables 或防火墙规则冲突：阻止了 NAT 或转发规则
✅ IP 转发被禁用：宿主机未开启 IP 转发功能
✅ Docker 网络配置异常：如旧版本、自定义网络配置错误
✅ 宿主机网络冲突：如使用了 VPN 或防火墙工具（如 UFW）
4. 修复方法详解
4.1 检查 DNS 配置
如果容器能 ping IP 地址但无法 ping 域名，说明是 DNS 问题。
我们可以通过如下命令测试：
$ docker run --rm --dns 192.0.2.1 alpine ping -c 3 dns.google
ping: bad address 'dns.google'
上面我们指定的 DNS 地址 192.0.2.1 是一个测试用保留地址，不能真正解析域名。
接下来我们尝试直接 ping IP：
$ docker run --rm --dns 192.0.2.1 alpine ping -c 3 8.8.8.8
PING 8.8.8.8 (8.8.8.8): 56 data bytes
64 bytes from 8.8.8.8: seq=0 ttl=254 time=24.889 ms
...
成功说明网络本身是通的，问题出在 DNS。
修复方法：指定有效的 DNS 服务器，如 Google 的 8.8.8.8：
$ docker run --rm --dns 8.8.8.8 alpine ping -c 3 dns.google
PING dns.google (8.8.4.4): 56 data bytes
...
要让所有容器默认使用指定 DNS，可以修改 Docker 的全局配置：
- Docker Desktop：进入 Settings → Docker Engine，添加如下 JSON：
{
"dns": ["8.8.8.8", "8.8.4.4"]
}
- Linux 命令行安装的 Docker：编辑
/etc/docker/daemon.json文件并添加上述内容。
最后重启 Docker 服务即可。
4.2 检查宿主机是否开启 IP 转发
Docker 依赖宿主机的 IP 转发功能实现容器与外网通信。
查看是否开启：
$ sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 0
如果返回 0 表示未开启，执行以下命令开启：
$ sudo sysctl -w net.ipv4.ip_forward=1
net.ipv4.ip_forward = 1
为了重启后依然生效，还需修改 /etc/sysctl.conf 文件，取消注释并设置：
net.ipv4.ip_forward=1
4.3 使用自定义桥接网络作为备选方案
如果 DNS 和 IP 转发都正常，但容器仍然无法联网，可能是默认桥接网络配置异常。
创建自定义桥接网络：
$ docker network create --driver bridge custom-net
cbcf808fc5ff2d50b9f8c909d738498d7b7c4e73ed30d32499ee6491d4651145
运行容器并指定该网络：
$ docker run --rm --network custom-net alpine ping google.com
如果此时能正常访问，说明原桥接网络配置有问题。
⚠️ 注意：Docker 不允许修改默认桥接网络，因此使用自定义桥接网络是一个有效的临时解决方案。
此外，建议定期清理无用的容器和网络：
$ docker system prune
该命令会清理停止的容器、未使用的网络、悬空镜像等，有助于保持 Docker 网络状态健康。
5. 最佳实践建议
为避免未来再次出现类似问题，建议遵循以下最佳实践：
✅ 宿主机网络、DNS、防火墙等配置变更后，记得重启 Docker
✅ 使用最新稳定版本的 Docker，避免旧版本的已知网络问题
✅ 优先使用自定义桥接网络，获得更好的隔离性和可控性
✅ 定期清理无用容器和网络，避免旧配置干扰新环境
6. 总结
Docker 容器无法访问互联网是一个常见但可能多因的问题。它可能是 DNS 配置错误、宿主机 IP 转发未开启、iptables 规则冲突，也可能是 Docker 网络配置不当所致。
通过本文介绍的方法，我们可以系统性地排查并修复这些问题。理解 Docker 的网络机制，是解决这类问题的关键。希望本文能帮助你快速定位并修复容器的网络问题。