对于使用桥接网络在容器之间创建专用网络的docker-compose，使用docker0的公认解决方案不起作用，因为容器的出口接口不是docker0，而是一个随机生成的接口id，例如:

$ ifconfig

br-02d7f5ba5a51: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.32.1  netmask 255.255.240.0  broadcast 192.168.47.255

不幸的是，随机id是不可预测的，并且每次compose必须重新创建网络时(例如在主机重新启动时)都会改变。我的解决方案是在一个已知的子网中创建私有网络，并配置iptables以接受该范围:

撰写文件片段:

version: "3.7"

services:
  mongodb:
    image: mongo:4.2.2
    networks:
    - mynet
    # rest of service config and other services removed for clarity

networks:
  mynet:
    name: mynet
    ipam:
      driver: default
      config:
      - subnet: "192.168.32.0/20"

如果您的环境需要，您可以更改子网。我使用docker network inspect任意选择了192.168.32.0/20，以查看默认创建的内容。

在主机上配置iptables，允许私有子网作为源:

$ iptables -I INPUT 1 -s 192.168.32.0/20 -j ACCEPT

这是最简单的iptables规则。您可能希望添加其他限制，例如按目的端口。当你对iptables的工作感到满意时，不要忘记坚持你的规则。

这种方法的优点是可重复的，因此是可自动化的。我使用ansible的模板模块使用变量替换来部署我的compose文件，然后使用iptables和shell模块分别配置和持久化防火墙规则。

我探索了各种解决方案，我发现这是最简单的解决方案:

定义网桥网关的静态IP地址。 在extra_hosts指令中添加网关IP作为额外的条目。

唯一的缺点是，如果你有多个网络或项目这样做，你必须确保它们的IP地址范围不冲突。

下面是一个Docker Compose的例子:

version: '2.3'

services:
  redis:
    image: "redis"
    extra_hosts:
      - "dockerhost:172.20.0.1"

networks:
  default:
    ipam:
      driver: default
      config:
      - subnet: 172.20.0.0/16
        gateway: 172.20.0.1

然后，您可以使用主机名“dockerhost”从容器内部访问主机上的端口。

我们发现，对于所有这些网络垃圾，一个更简单的解决方案是仅为服务使用域套接字。如果您无论如何都试图连接到主机，只需将套接字作为卷挂载，就可以了。对于postgresql，这很简单:

docker run -v /var/run/postgresql:/var/run/postgresql

然后，我们只需设置数据库连接以使用套接字而不是网络。就是这么简单。

对于linux系统，从docker引擎的主版本20.04开始，您现在也可以通过host.docker.internal与主机通信。这不会自动工作，但你需要提供以下运行标志:

--add-host=host.docker.internal:host-gateway

See

https://github.com/moby/moby/pull/40007#issuecomment-578729356 https://github.com/docker/for-linux/issues/264#issuecomment-598864064

在近7年的时间里，这个问题被提出了，要么docker已经改变了，要么没有人尝试过这种方法。所以我会给出我自己的答案。

我发现所有的答案都使用了复杂的方法。今天，我需要这些，并找到了两种非常简单的方法:

在主机上使用ipconfig或ifconfig，并记录所有的IP地址。容器至少可以使用其中的两个。 我有一个固定的本地网络地址在WiFi局域网适配器:192.168.1.101。这可能是10.0.1.101。结果会根据你的路由器而改变 我在windows上使用WSL，它有自己的vEthernet地址:172.19.192.1 使用host.docker.internal。大多数答案都有这样或那样的形式，这取决于操作系统。从这个名字可以看出，docker现在在全球范围内使用它。

第三种选择是使用计算机的WAN地址，或者换句话说，由服务提供者提供的IP地址。然而，如果IP不是静态的，并且需要路由和防火墙设置，这可能不起作用。

PS:虽然和这里的这个问题很像，我把这个答案贴在那里，但我是先找到这个帖子的，所以我也贴在这里，以免忘记我自己的答案。

对于使用桥接网络在容器之间创建专用网络的docker-compose，使用docker0的公认解决方案不起作用，因为容器的出口接口不是docker0，而是一个随机生成的接口id，例如:

$ ifconfig

br-02d7f5ba5a51: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.32.1  netmask 255.255.240.0  broadcast 192.168.47.255

不幸的是，随机id是不可预测的，并且每次compose必须重新创建网络时(例如在主机重新启动时)都会改变。我的解决方案是在一个已知的子网中创建私有网络，并配置iptables以接受该范围:

撰写文件片段:

version: "3.7"

services:
  mongodb:
    image: mongo:4.2.2
    networks:
    - mynet
    # rest of service config and other services removed for clarity

networks:
  mynet:
    name: mynet
    ipam:
      driver: default
      config:
      - subnet: "192.168.32.0/20"

如果您的环境需要，您可以更改子网。我使用docker network inspect任意选择了192.168.32.0/20，以查看默认创建的内容。

在主机上配置iptables，允许私有子网作为源:

$ iptables -I INPUT 1 -s 192.168.32.0/20 -j ACCEPT

这是最简单的iptables规则。您可能希望添加其他限制，例如按目的端口。当你对iptables的工作感到满意时，不要忘记坚持你的规则。

这种方法的优点是可重复的，因此是可自动化的。我使用ansible的模板模块使用变量替换来部署我的compose文件，然后使用iptables和shell模块分别配置和持久化防火墙规则。