如何防止docker服务器IP地址离开内部群集networking？

介绍：

我最近看到一个群集运行在单个节点上，周期性地通过wireshark将内部IP地址泄露到外部站点。

在正常情况下，相同的数据包具有正确的外部“发件人”地址，并通过networking魔法到达容器。

题：

是否有一个平台独立的选项或一组选项，对于群集来说，它们不那么神奇，可能性能较差，但仍然保证了docker内部IP地址的可预测隔离？

背景：

显然这里的问题是内部IP不能被外部主机解决，所以当这个应用程序发生这种情况时，需要与外部世界进行交stream的应用程序会被外部世界抛弃一堆连接， 。

数据包泄漏在VXLans中不时发生，所以这个问题的答案部分可能不是特定的docker。