总结：
原代理方式，docker 运行 clash ，暴露端口，群晖设置系统代理 127.0.0.1:7890 ，终端可以直接代理，但不知道为什么 docker 没走代理。
折腾了一下午，尝试了以下几种方式，由于种种原因失败
1.群晖安装 openwrt ，更改网关后无法 ping 通百度
2.docker daemon 配置文件，DSM 与通用 linux 不同，不知道在哪
3.iptables+redsocks 流量转发，需要安装编译环境和相关工具，我不想把群晖里装太多东西
4.群晖开的 windows 虚拟机，CFW 无法作为网关。
5.群晖创建 tun ，映射到 docker clash 作为透明代理，按教程走了一遍，失败
临时解决办法，更改 ClashX Pro 作为网关。许多在 linux 里很简单的方法到了 DSM 就会很复杂，先这样，以后有时间了再研究，感谢大家的回复。