Docker 删除容器时自动释放其独占网络资源，包括 veth 设备、iptables 规则、网络命名空间及自定义网络中的 IP/DNS；但 exited 容器、共享网络、手动 iptables 规则或高级驱动配置除外。
删除容器后，Docker 会自动释放其关联的网络资源，但前提是这些资源未被其他容器或服务占用。整个过程由 Docker 守护进程在容器生命周期终止时触发，属于内置行为，无需手动干预——但理解其机制能避免误判“残留”或“泄漏”。
网络资源包括哪些
Docker 容器运行时依赖的网络资源主要包括：
- 虚拟以太网设备（如 veth pair 的宿主机端）
- 连接到 bridge 网络的 iptables 规则（如 DOCKER-USER、DOCKER 链中的转发/端口映射规则）
- 网络命名空间（netns）及其内部配置（如 lo、eth0）
- 自定义网络中分配的 IP 地址和 DNS 条目（如 embedded DNS server 中的记录）
- 若使用 host 或 none 模式，则不创建独立网络资源，因此也无释放动作
删除容器时的自动回收流程
执行 docker rm <container_id>（或先 stop 再 rm）后，Docker 引擎按如下顺序清理网络层：
- 从容器所属网络（如 bridge、自定义 network）中注销该容器的网络端点（endpoint）
- 释放该容器独占的 IPv4/IPv6 地址，归还至网络子网池（仅限用户定义网络；默认 bridge 网络不回收 IP，但地址不再被复用）
- 移除与该容器绑定的 iptables 规则：包括端口映射（-p）、自定义链跳转、以及 conntrack 相关条目
- 销毁容器的网络命名空间（netns），连带卸载其中所有虚拟设备（veth、lo 等）
- 若该容器是某自定义网络中最后一个成员，且该网络未被其他容器使用，则网络本身不会自动删除——需显式执行 docker network prune 或 docker network rm
什么情况下网络资源不会被回收
以下情形会导致网络资源“看似残留”，实为设计使然：
- 容器处于 exited 状态但未被 rm：此时网络端点仍注册在网络中，IP 和规则均保留
- 多个容器共享同一自定义网络：仅删除其中一个，其余容器继续占用该网络，网络对象及基础桥接设备保持存在
- 手动添加了 iptables 规则（非 Docker 自动管理）：Docker 不感知、不清理，需人工维护
- 使用 macvlan / ipvlan 等高级驱动时，部分主机侧接口配置（如 macvlan 子接口）可能需额外清理
验证网络资源是否已释放
可通过以下命令交叉确认：
- docker network inspect <network_name>：检查 Containers 字段是否为空，Subnet 中 IPAM 是否仍显示已分配地址
- iptables -t nat -L DOCKER -n 和 iptables -t filter -L DOCKER -n：确认无对应容器 ID 或端口的残留规则
- ip link show | grep veth：对比删除前后 veth 设备数量变化（通常每删一个活跃容器减少一对）
- ls /var/run/docker/netns/：该目录下不应存在已删除容器的 netns 文件（如 123abc456）
