docker compose 怎么禁止容器访问宿主所在的局域网?

比如宿主机的 IP 是 192.168.1.1
容器的 IP 是 20.20.20.20
容器可以直接通过 192.168.1.x:port 的方式
访问到宿主机局域网中的服务
怎么禁止这种访问, 同时支持容器访问公网?

带 cap=NET_ADMIN 运行
启动时把 private IP range 都 ip route add prohibit 掉

version: "3.9"
services:
networks:
  test:
    driver: bridge
    driver_opts:
      com.docker.network.bridge.enable_ip_masquerade: false


但是互联网也没法访问了…