是否可以将用户定义的覆盖网络中的docker容器与外部Internet隔离开来？

Question

借助docker 1.10中的新网络功能，可以创建隔离的覆盖网络 - 效果非常好。 2个独立网络中的容器无法相互通信。但是，是否有可能拒绝覆盖网络中的容器到达公共互联网？例如，在将docker主机连接到Internet时使ping 8.8.8.8失败。

Answer 1

如果在使用--internal命令创建网络时添加docker network create标志，则该网络将不具有出站网络访问权限：

docker network  create --internal --subnet 10.1.1.0/24 mynetwork

我认为 - 但尚未经过测试 - 这适用于覆盖网络以及主机本地网络。