ESXi环境下 Docker 单 IPvlan 网络与安全设置测试总结

本文记录我在 ESXi 环境下使用 Docker ipvlan 网络的实测结果，重点分析虚拟交换机的安全设置对容器通信的影响，提供了实际操作步骤与结论，供在虚拟化平台部署容器网络的同学参考。

🧭 背景说明

在 ESXi 中运行 Docker 容器时，若希望容器拥有独立的局域网 IP，可使用 macvlan 或 ipvlan 驱动创建网络。但在 vSwitch 虚拟交换机下，三项 安全设置选项 会直接影响网络可用性：

  • ✅ MAC 地址更改（MAC Address Change）
  • ✅ 欺骗模式（Forged Transmits）
  • ✅ 混杂模式（Promiscuous Mode）

这些设置通常默认关闭，若未正确配置，在使用 macvlan 网络时可能导致容器无法通信。

🔍 核心测试结论

在使用 单 ipvlan 模式 的前提下，ESXi vSwitch 的三项安全设置（即便全部关闭）也不会影响容器与网关的通信。

✅ 说明：ipvlan 模式对安全设置要求更宽松，适用于不便调整 vSwitch 策略的虚拟化场景。

⚙️ 实操步骤详解

以下是在我的实验环境（ESXi + Ubuntu 虚拟机 + Docker）中完成的操作流程。

🧹 1. 清理旧网络（如已存在）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
docker network rm ipvlan_net
````

> Tip：提前移除同名网络，避免配置冲突。

---

### 🧱 2. 创建 IPvlan 网络

```bash
docker network create -d ipvlan \
  --subnet=192.168.10.0/24 \
  --gateway=192.168.10.1 \
  -o parent=ens34 ipvlan_net
  • ens34：为宿主机物理网卡或桥接接口；
  • 不使用 --ip-range 可避免与 DHCP 服务冲突；
  • 驱动选择 ipvlan 而非 macvlan 是关键。

🧪 3. 运行容器并指定 IP 地址

1
docker run --rm -it --net=ipvlan_net --ip=192.168.10.201 busybox sh

📡 4. 容器内测试网关连通性

1
ping 192.168.10.1

成功输出示例：

1
2
64 bytes from 192.168.10.1: seq=0 ttl=64 time=1.566 ms  
64 bytes from 192.168.10.1: seq=1 ttl=64 time=0.627 ms

✅ 说明容器网络配置成功，且无需更改 vSwitch 默认安全策略。

📘 实测补充说明

项目 ipvlan（单网卡）行为
是否依赖混杂模式 否 ✅
是否需要允许 MAC 更改 否 ✅
使用场景 适合虚拟机内部 Docker 网络直接接入 LAN
与 macvlan 对比 更稳定、兼容性更好，不会触发 vSwitch 警告

如果你使用的是 macvlan 模式，则 必须允许 MAC 更改与欺骗传输，否则容器可能完全无法上网。

✅ 总结与建议

  • 如果你部署 Docker 在 ESXi 虚拟机内，并希望容器有 LAN 中的独立 IP，优先考虑 ipvlan 模式；
  • 使用单网卡 ipvlan 时，ESXi 的虚拟交换机无需开启任何额外安全策略；
  • 相比 macvlan，ipvlan 更适合在不方便调整 vSwitch 设置的办公/家庭网络中使用。

虽然 macvlan 支持多播/广播，但多数场景下 ipvlan 更安全、兼容性更强。