要禁止Docker容器访问内部网络，可以使用Docker的网络命名空间（network namespace）来实现。下面是一个示例代码，演示如何创建一个新的网络命名空间，并将容器中的流量限制在该命名空间内：

# 创建一个新的网络命名空间
sudo ip netns add mynamespace

# 创建一个虚拟网络设备，并将其与新的命名空间关联
sudo ip link add veth0 type veth peer name veth1
sudo ip link set veth1 netns mynamespace

# 在新的命名空间中配置网络设备
sudo ip netns exec mynamespace ip addr add 192.168.0.1/24 dev veth1
sudo ip netns exec mynamespace ip link set veth1 up

# 配置主机上的网络设备，将其与新的虚拟网络设备连接
sudo ip addr add 192.168.0.2/24 dev veth0
sudo ip link set veth0 up

# 启动Docker容器，并将其网络命名空间设置为新创建的命名空间
sudo docker run --rm --net=container:mynamespace myimage

# 清理创建的网络设备和命名空间
sudo ip link del veth0
sudo ip netns del mynamespace

在这个示例中，我们首先创建了一个新的网络命名空间 mynamespace。然后，我们创建了一对虚拟网络设备 veth0 和 veth1，并将 veth1 放入 mynamespace 命名空间中。接下来，我们在 mynamespace 中配置了 veth1 的 IP 地址和启用了网络设备。然后，我们在主机上配置了 veth0 的 IP 地址，并将其启用。最后，我们使用 --net=container:mynamespace 参数启动了一个 Docker 容器，该容器共享了 mynamespace 的网络命名空间。

通过这种方式，Docker 容器的网络流量将被限制在新的命名空间内，无法访问主机的内部网络。