21 Aug 2026
2 分钟阅读
Docker Sandboxes 的网络策略：balanced 挡住了什么，怎么放行一条例外
Docker Sandboxes 实测系列（共 5 篇）
- Docker Sandboxes 上手：从安装到第一次跑 Agent
- Docker Sandboxes 工作区怎么接：Direct、Clone 和它们的边界
- Docker Sandboxes 的隔离例外：共享 Skills 与宿主机 MCP
- Docker Sandboxes 的凭证：host 代理转发，不进 microVM
- Docker Sandboxes 的网络策略：balanced 挡住了什么，怎么放行一条例外（本篇）
TL;DR
balanced 不是“基本全开”。初始化后本机生成了 197 条网络 allow 规则，看着不少，但拦下的东西更值得关注：宿主机 localhost、局域网私有地址、云平台的 metadata 端点（169.254.169.254）、VS Code 和 Microsoft 的遥测域名，默认全部 403 或 DNS 直接拒绝。
