[Docker] 在容器里运行 VPN，如何接管其他容器的流量作为默认出口？

大概的背景是这样的。

我有 3 个服务，分别是通过 3 个 compose.yml 管理的。
一个服务是 caddy ，作为反向代理，同时反代另外两个服务（叫它们 A 和 B 好了）。
caddy 容器通过 external network 和 A 、B 相连，并且通过容器名访问 A 和 B 。

但是服务 A 和 B 都需要访问一些被污染了的网站（比如 raw.githubusercontent.com)，虽然试过设置 HTTP_PROXY/HTTPS_PROXY 等环境变量让它们走代理，但是依然有部分流量直连，因此打算再跑一个 VPN 容器来接管这两个服务的流量。

假设我跑起来了一个 VPN 容器，该怎么接管 A 和 B 的流量呢？