@neroxps 其实 FAKE IP 也很 Dirty ，它破坏了网络的完整性...兼容性不一定好的同时，目的地地址被改写了，如果单纯是用来代理没什么问题，但是很多其他的内容也会造成影响。

如果是我设计，增加这一层额外的复杂度是我想要避免的，既然转发了 DNS 直接路由就行了，然后用通常的 REDIR 等处理方式就行。

甚至更进一步，这一步甚至可以直接在主路由中完成，至于怎么去代理只是加一条策略路由的事。

旁路由真的属于半吊子操作...软路由的好处没吃到多少，复杂度+不稳定性倒是拉满了。。。

仿佛又看到了“是开源安全，还是闭源安全”这一话题。

但是共识的结论似乎和讨论的商业公司或者社区挂钩，还挺有意思的。

你要找的是不是这个

https://docs.docker.com/network/iptables/