尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
Docker Sandboxes 的网络策略:balanced 挡住了什么,怎么放行一条例外
Docker Sandboxes 实测系列共 5 篇Docker Sandboxes 上手从安装到第一次跑 AgentDocker Sandboxes 工作区怎么接Direct、Clone 和它们的边界Docker Sandboxes 的隔离例外共享 Skills 与宿主机 MCPDocker Sandboxes 的凭证host 代理转发不进 microVMDocker Sandboxes 的网络策略balanced 挡住了什么怎么放行一条例外本篇TL;DRbalanced不是“基本全开”。初始化后本机生成了 197 条网络 allow 规则看着不少但拦下的东西更值得关注宿主机localhost、局域网私有地址、云平台的 metadata 端点169.254.169.254、VS Code 和 Microsoft 的遥测域名默认全部 403 或 DNS 直接拒绝。排查用sbx policy log看某个 sandbox 到底被拦了哪个域名、什么原因放行用sbx policy allow network --sandbox name host改动立刻生效不用重启 sandbox。三档预设balanced挡的比想象中多第一篇提过一句三档预设里balanced是居中那档——默认拒绝放行常见开发站点。这篇把“常见开发站点”具体是什么、“默认拒绝”具体拒绝了什么摊开看。先看规模$ sbx policy ls POLICY SOURCE APPLIES TO SUMMARY local-policy local all network: 197 allow; filesystem read: 1 allow; filesystem write: 1 allow197 条 allow 规则覆盖模型 API、包管理器PyPI、npm、代码托管GitHub、容器 Registry 这些开发常用域名。但下面这些默认都不在名单里$ sbx exec my-sandbox bash -c curl -s -o /dev/null -w %{http_code}\n http://example.com 403 $ sbx exec my-sandbox bash -c curl -s -o /dev/null -w %{http_code}\n http://localhost:1 000 $ sbx exec my-sandbox bash -c curl -s -o /dev/null -w %{http_code}\n https://pypi.org 200example.com403宿主机localhost直接连不上000pypi.org在白名单里200。值得留意的不是这几个示例域名是我这几天测试攒下来的sbx policy log里balanced真正拦住的东西——云平台的 metadata 端点和几个大厂的遥测域名默认也在拒绝名单里Blocked requests: SANDBOX HOST REASON ... 169.254.169.254:80 No matching allow rule (default deny) ... metadata.google.internal:80 No matching allow rule (default deny) ... westus-0.in.applicationinsights.azure.com:443 No matching allow rule (default deny) ... main.vscode-cdn.net:443 No matching allow rule (default deny) ... mobile.events.data.microsoft.com:443 No matching allow rule (default deny)169.254.169.254是云平台通用的 metadata 服务地址AWS/Azure/GCP 都用这个地址回答“我是谁、我的凭证是什么”一个跑在容器里的进程如果尝试连它通常不是好事。balanced默认把这条也堵了不只是挡“陌生网站”。用sbx policy log查一条请求被拦在哪sbx policy log按 sandbox 分组列出被拦和放行的请求带上代理类型和命中次数$ sbx policy log Blocked requests: SANDBOX TYPE HOST PROXY RULE REASON COUNT my-sandbox network example.com:80 forward no applicable policies for op(...) No matching allow rule 1 my-sandbox network example.com network dns proxy policy DNS lookup blocked 1同一个域名会出现两条一条是 HTTP 层的连接被 403一条是 DNS 解析本身就被挡——balanced不只在 HTTP 代理层拦DNS 查询这一步也可能先被切断取决于 sandbox 是不是先解析出了地址再发起连接。想在不实际发请求的情况下判断某个域名会不会被放行用sbx policy check不用起 sandbox 或等 curl 超时$ sbx policy check network blocked.example.com Denied: blocked.example.com:443 Reason: no matching allow rule (default deny) $ sbx policy check network api.anthropic.com Allowed: api.anthropic.com:443放行一条例外只影响一个 sandbox第一篇讲 SuperGrok 时用过全局放行sbx policy allow network *.x.ai:443,…之后所有 sandbox 都能连。如果只想给某一个 sandbox 开例外加--sandbox$ sbx policy allow network --sandbox my-sandbox example.com Rule added to policy local (scope: sandbox:my-sandbox): 64cae706-... (example.com) $ sbx exec my-sandbox bash -c curl -s -o /dev/null -w %{http_code}\n http://example.com 200加规则不需要重启 sandbox立刻生效。撤销同一条规则sbx policy rm network --sandbox my-sandbox --resource example.comsbx policy ls sandbox-name能看到这个 sandbox 当前实际生效的规则合集——包括全局local-policy也包括 kit 额外加的规则。我这台机器上跑过的几个 OpenCode sandboxsbx policy ls显示它们各自还多了一条来自 kit 的 allow 规则是 OpenCode 的 sandbox 模板自己声明的不算在全局 197 条里。这条提醒换一个 Agent 或换一个 kit实际放行的域名集合可能比全局策略更宽出问题时记得连 kit 规则一起查。小结balanced不是一个粗粒度的开关是一份具体的域名白名单——覆盖了主流开发工具链但云 metadata、遥测、局域网、宿主机自己默认全部拒绝。出问题先查sbx policy log定位是 DNS 层还是连接层被拦再用sbx policy check确认改动前后的判断最后按需--sandbox精确放行不必为一个域名把全局策略打开一个口子。
RELATED

相关推荐

Excel理财应用14-ETF 市场 1500 多只怎么挑?一张全景图 5 分钟看懂筛选逻辑

Excel理财应用14-ETF 市场 1500 多只怎么挑?一张全景图 5 分钟看懂筛选逻辑

本篇定位:Excel 投资系列第 14 篇。ETF 系列的导论——A 股市场 1500 只 ETF,**怎么挑?**本文给一张全景图 5 大类 ETF 分类逻辑 完整筛选流程,让你 5 分钟看懂整个 ETF 市场。 🔥 黄金 100 字 你有没有过——打开行…

📅 2026/10/10 11:52:17
python的运筹学工业场景模拟第一百一十篇:多目标设备更新优化,兼顾设备购置成本,停机损失,遗传算法,输出多套更新策略。

python的运筹学工业场景模拟第一百一十篇:多目标设备更新优化,兼顾设备购置成本,停机损失,遗传算法,输出多套更新策略。

设备“算着换”:用多目标遗传算法把 1200 万更新预算从“拍脑袋”变成“帕累托最优”“某汽车零部件厂机加车间 20 台关键设备,设备经理每年拿 1200 万更新预算,以前按‘年龄故障率’拍板,结果有的设备‘未老先衰’、有的‘超期服…

📅 2026/10/5 15:45:58
软件测试面试全攻略:千题解析与实战技巧

软件测试面试全攻略:千题解析与实战技巧

1. 软件测试面试全景指南:从理论到实战的千题突破最近三年软件测试岗位的竞争愈发激烈,仅2026年上半年就有超过12万求职者投递测试岗位。作为从业八年的测试老兵,我整理了这份覆盖21大技术模块、1000真实面试题的实战指南。不同于网上零散的面…

📅 2026/10/29 20:42:51
MORE NEWS

更多资讯

📰

北戴河电工证培训机构怎么选?含金量高的电工证怎么复审延期

北戴河电工证培训机构怎么选?含金量高的电工证怎么复审延期 证书过期了不知道怎么复审延期,你是不是也遇到过这种情况?尤其是从事电气行业的老电工,证书过期意味着你不能继续上岗作业,企业也难以安排你参与项目,这直接影响到收入和职业发展。而电工证的…

📰

南海哪里能报电工证考试怎么报名全国通用

南海哪里能报电工证考试怎么报名全国通用 你还在为找工作发愁吗?特种作业证就是你的“上岗通行证”,尤其在南海地区,很多企业要求电工证 全国通用…

📰

电工作业安全防控措施有效期多久 电子证书怎么查

电工作业安全防控措施有效期多久 电子证书怎么查 实操考试心里没底怕挂科?别慌,今天咱们就从周口一个刚报名的电工小白角度出发,聊聊电工作业安全防控措施的有效期和电子证书的相关问题,带你搞懂报考流程、备考重点和证书管理,别再被那些坑人的信息误导…

📰

特种工证的含义你真懂了吗?上岗必备别踩坑

特种工证的含义你真懂了吗?上岗必备别踩坑 怕考不过白交培训费?特种工证的含义你真懂了吗?现在很多人对特种工证的认知还停留在“上岗必备”的层面上,但其实这个证书背后藏着的不只是就业门槛,更关乎生命安全、行业规范和法律责任。如果你是郑州的建筑工…

📰

电工作业日点检表怎么用?考前押题助你轻松过关

电工作业日点检表怎么用?考前押题助你轻松过关 实操考试心里没底怕挂科?电工作业日点检表作为日常工作中的一项重要管理工具,不仅关系到设备运行安全,也直接影响考试中对操作流程的理解与运用。尤其是对于刚入门的电工来说,日点检表的规范使用和流程熟悉…

📰

塔吊和高压电工证怎么考?学历不高也能报!全国通用真不假

塔吊和高压电工证怎么考?学历不高也能报!全国通用真不假 你是不是也担心自己学历不高,怕报不了名?别急,塔吊和高压电工证其实没有想象中那么难,只要符合基本条件,全国通用的证书照样能拿到手。而且现在政策也越来越人性化,对学历要求不像以前那么死板…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬