使用 Docker Compose 一键部署透明代理容器网络

在服务器端运行自动化脚本或开发环境时，很多隔离的 Docker 容器自身没有安装任何代理工具。当它们需要抓取海外 API 或者更新数据时，如果逐个配置 HTTP 代理变量，维护成本将极其高昂。利用 Docker Compose 搭建全局透明代理网络 是降维打击的方案。

1. 架构理念：构建虚拟子网桥接

传统的做法是针对每一个容器如 docker run -e HTTP_PROXY=...。 透明代理网络的思路是：在 Docker 内部创建一个全新的桥接子网（如 172.18.0.0/16）。在这个子网中，我们部署一个充当“网关”的容器（运行含有 TUN 模块或 Tproxy 转发的 Clash 内核）。然后强制将其他需要翻墙的业务容器加入这个子网，并将它们的默认路由指向该代理容器。

2. Docker Compose 配置示例

version: '3'
services:
  # 网关代理容器
  proxy-gateway:
    image: dreamacro/clash
    cap_add:
      - NET_ADMIN # 赋予修改底层路由特权
    volumes:
      - ./clash-config.yaml:/root/.config/clash/config.yaml
    networks:
      proxy-net:
        ipv4_address: 172.18.0.2

  # 你的业务爬虫或应用容器
  my-app:
    image: my-app:latest
    depends_on:
      - proxy-gateway
    networks:
      proxy-net:
    # 强制修改该容器的默认网关，指向代理容器
    command: /bin/sh -c "ip route del default && ip route add default via 172.18.0.2 && [你的启动命令]"

networks:
  proxy-net:
    driver: bridge
    ipam:
      config:
        - subnet: 172.18.0.0/16

3. 安全与避坑指南

• 确保代理配置（clash-config.yaml）中开启了 redir-port 或 tproxy-port，并正确配置了局域网访问授权，否则它无法处理来自其他容器的转发流量。
• 此类带有 NET_ADMIN 权限的容器一旦遭受针对性网络攻击，风险极高。请勿将此内网隔离网关的内部代理端口随意暴露给外部公网映射。如果要在主机级别使用 Docker 进行镜像加速拉取，请参考守护进程代理配置指导。

---

参考资料与相关阅读

• 相关阅读：Docker Daemon 环境的全局镜像拉取代理设置
• 相关阅读：理解 Linux 服务器的底层守护进程接管