docker0 是 Docker 服务启动后在宿主机上创建的虚拟网桥，对应 Linux 内核的 bridge 模块。它工作在 OSI 第二层，通过 MAC 地址学习和端口转发，将多个容器虚拟网卡 veth 与宿主机协议栈连接起来。每个容器默认会获得一个 veth pair，其中一端位于容器内部作为 eth0，另一端插在 docker0 上，从而形成二层广播域。
默认情况下，docker0 的地址是 172.17.0.1/16，容器从 172.17.0.0/16 网段中自动分配 IP，网关指向 docker0。宿主机与容器之间可以直接通过该网桥通信，而容器访问外网则依赖 iptables 的 MASQUERADE 规则完成源地址转换。查看 docker0 的基本信息可以通过 ip addr show docker0 或 ifconfig docker0 完成，同时 docker network ls 会显示名为 bridge 的默认网络。
docker0 允许容器之间通过桥接二层互通，但对于生产环境，直接依赖默认 docker0 并不推荐，因为它的配置在 Docker 重启后可能恢复默认，并且缺乏 DNS 自动解析等能力。理解这些默认行为是后续修改配置的前提。
一、docker0 网桥的本质与默认配置
docker0 实际上是一个 Linux bridge，可以用 brctl show 命令查看宿主机上所有网桥及其挂载的接口。Docker 启动时会自动创建 docker0，并配置一个默认的子网和网关地址。这个地址是在 Docker 编译期或安装时预设的，通常是 172.17.0.1/16，但也可以因发行版不同而有所差异。容器启动时如果不指定网络，Docker 会默认将其挂到 docker0 上，并通过内置的 IPAM 从子网中分配一个未使用的 IP。
容器之间通过 docker0 通信时，数据帧会经过宿主机内核的 bridge 转发逻辑。如果容器需要访问外部网络，数据包会先经过 docker0，再通过宿主机的路由表和 iptables 的 NAT 规则进行地址转换。因此在排查容器网络问题时，docker0 的状态、宿主机的 IP 转发开关以及 iptables 规则往往是三个关键点。
docker0 的默认配置虽然方便，但它的地址段可能与现有网络冲突，尤其是在企业 VPN 或办公网段已经使用 172.17.0.0/16 的情况下。此外，默认 bridge 网络不支持容器名 DNS 解析，容器之间只能通过 IP 互相访问，这给动态扩缩容带来不便。因此了解如何修改 docker0 以及何时改用自定义网络非常重要。
二、修改 docker0 默认配置的步骤与参数
要持久化修改 docker0 的 IP 地址、子网或 MTU，不能直接使用 ip addr add 或 ip link set，因为这些修改在 Docker 服务重启后会被重置。正确做法是编辑 Docker 守护进程配置文件 /etc/docker/daemon.json，如果文件不存在则手动创建。常用的配置项包括 bip（bridge IP）、fixed-cidr、mtu、dns 等。
下面给出一个修改 docker0 地址为 10.10.0.1/24 的示例：
{
"bip": "10.10.0.1/24",
"fixed-cidr": "10.10.0.0/24",
"mtu": 1400,
"dns": ["8.8.8.8", "114.114.114.114"]
}
保存文件后，需要停止 Docker 服务、删除旧 docker0，然后重新启动 Docker。命令如下：
sudo systemctl stop docker sudo ip link set dev docker0 down sudo brctl delbr docker0 # 如果没有 brctl 可先安装 bridge-utils sudo systemctl start docker
执行之后再次使用 ip addr show docker0 确认新地址已经生效。需要注意 daemon.json 中 bip 与 fixed-cidr 应保持一致，否则容器分配 IP 可能与网关不在同一网段导致无法通信。如果只想调整 MTU，也可以单独设置 mtu 参数，但必须确保该值不大于宿主机物理网卡的 MTU，否则会出现分片或丢包。
除了直接修改默认 docker0，更推荐在生产环境使用 docker network create 创建自定义 bridge 网络，因为自定义网络支持容器名解析、网络隔离、灵活的地址规划，而且不会影响 Docker 默认网络行为。
三、使用自定义网桥替代默认 docker0
Docker 的 libnetwork 允许创建多个用户自定义 bridge 网络，每个网络对应一个独立的 Linux bridge，例如 docker network create --driver bridge --subnet=192.168.100.0/24 --gateway=192.168.100.1 mynet。创建后可以通过 docker network inspect mynet 查看其配置。使用自定义网络的容器可以使用 --network mynet 参数加入，并且容器之间可以通过容器名互相访问，这是默认 bridge 网络不具备的。
自定义网络还支持在创建时指定 IP 范围、网关、MTU、内部模式等。例如需要完全隔离外部访问时可以使用 --internal 参数。与修改 docker0 相比，自定义网络的优点在于配置灵活、重启后自动恢复、不会与宿主机已有网段冲突。对于多租户或微服务场景，建议为每组服务创建独立网络，并通过 Docker Compose 的网络声明进行管理。
虽然自定义网络功能更强，但 docker0 作为默认网络依然存在于宿主机上，如果不需要可以修改其地址或直接替换为自定义网络作为默认启动项，但这通常没有必要，因为 docker0 的地址冲突问题可以通过修改 daemon.json 的 bip 解决。
四、配置 docker0 时常见问题与排查思路
第一个常见问题是容器之间无法 ping 通。此时应检查宿主机防火墙是否放行了 bridge 流量，尤其是 iptables 的 FORWARD 链默认策略。Docker 通常会写入相应规则，但如果宿主机启用了 firewalld 或手动清空了 iptables，容器间二层流量虽然能到达 docker0，但可能被防火墙拦截。
第二个问题是容器无法访问外网。多数情况下是因为 NAT 规则缺失或 sysctl 的 net.ipv4.ip_forward 未开启。可以用 sysctl net.ipv4.ip_forward 查看，如果为 0 则需要写入 /etc/sysctl.conf 并执行 sysctl -p。此外检查 iptables -t nat -L POSTROUTING 是否存在 MASQUERADE 规则。
第三个问题是 IP 地址冲突。docker0 默认 172.17.0.0/16 可能与公司 VPN、办公网段冲突，容器路由会走错接口。解决方法是修改 bip 为不冲突网段，或者使用自定义网络并显式指定 subnet。修改后需要删除旧网络并重启 Docker 使配置生效。
最后需要注意 MTU 不匹配。如果容器内访问某些网站卡顿或无法建立连接，可以尝试将 docker0 的 MTU 调整到与宿主机出口网卡一致，例如使用 ip link set docker0 mtu 1400 临时测试，确认有效后再写入 daemon.json，避免直接修改宿主机全局 MTU 影响其他服务。