容器子网与内网/VPN 冲突

docker0 默认 172.17.0.0/16 与办公网或 VPN 路由重叠时，特定目标不可达；用 ip route 对照容器网络子网，必要时规划独立地址池。

检查	ip route 与 docker network inspect 的 IPAM
症状	部分网段不通、抓包方向错乱
长期方案	daemon.json default-address-pools 规划网段

示例

ip route | head -20
docker network inspect bridge -f '{{json .IPAM.Config}}'
docker network create --subnet 10.88.0.0/24 appnet2

地址池规划留出与现有内网不重叠的段，写进环境基线文档，避免各机器各写一套。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌