如何让host.docker.internal同时支持Docker内部与本地访问Keycloak

问题分析 #

你需要实现本地浏览器和Compose集群内的服务都通过http://host.docker.internal:8080访问polar-keycloak，但当前容器内的host.docker.internal指向默认bridge网关（172.17.0.1），导致容器内无法正常访问。核心矛盾在于：

• 本地通过/etc/hosts将host.docker.internal指向127.0.0.1，通过端口映射访问Keycloak
• 容器内需要让host.docker.internal直接指向Keycloak服务，而非宿主机网关

推荐解决方案：为Keycloak服务添加网络别名 #

在Docker Compose的自定义网络中，给polar-keycloak服务添加host.docker.internal的别名，这样容器内解析该域名时会直接指向Keycloak容器，本地则通过hosts文件指向宿主机，实现同一URL双向访问。

修改后的docker-compose.yml如下：

version: "3.8"
services:
  catalog-service:
    depends_on:
      - polar-keycloak
    image: "catalog-service"
    container_name: "catalog-service"
    ports:
      - 9001:9001
    environment:
      - SPRING_SECURITY_OAUTH2_RESOURCESERVER_JWT_ISSUER_URI=http://host.docker.internal:8080/realms/PolarBookshop
    networks:
      - default

  edge-service:
    depends_on:
      - polar-keycloak
    image: "edge-service"
    container_name: "edge-service"
    ports:
      - 9000:9000
    environment:
      - SPRING_SECURITY_OAUTH2_CLIENT_PROVIDER_KEYCLOAK_ISSUER_URI=http://host.docker.internal:8080/realms/PolarBookshop
    networks:
      - default

  polar-keycloak:
    image: quay.io/keycloak/keycloak:23.0
    container_name: "polar-keycloak"
    command: start-dev --import-realm
    volumes:
      - ./keycloak:/opt/keycloak/data/import
    environment:
      - KEYCLOAK_ADMIN=user
      - KEYCLOAK_ADMIN_PASSWORD=password
    ports:
      - 8080:8080
    networks:
      default:
        aliases:
          - host.docker.internal # 关键：给Keycloak添加网络别名

networks:
  default:
    name: docker_default

配置说明 #

1. 移除extra_hosts：原来的host.docker.internal:host-gateway会强制指向宿主机默认bridge网关，与容器内需要的解析逻辑冲突，因此删除该配置。
2. 添加网络别名：在polar-keycloak的networks配置中设置aliases: host.docker.internal，这样在Compose的docker_default网络内，所有容器解析该域名时都会直接指向Keycloak容器，无需经过宿主机端口转发，访问更高效可靠。
3. 本地访问不受影响：你已在/etc/hosts中配置host.docker.internal 127.0.0.1，本地浏览器仍能通过端口映射正常访问Keycloak。

备选方案：通过防火墙允许容器访问宿主机端口（不推荐） #

如果坚持使用host-gateway的方式，需要确保宿主机防火墙允许Compose自定义网络的容器访问宿主机8080端口：

1. 查看docker_default网络的子网：

   docker network inspect docker_default | grep Subnet
   

2. 添加iptables规则（替换子网为实际值，比如172.18.0.0/16）：

   sudo iptables -A INPUT -s 172.18.0.0/16 -p tcp --dport 8080 -j ACCEPT
   

这种方式依赖防火墙配置，且访问需要经过宿主机转发，不如方案一高效稳定。

内容的提问来源于stack exchange，提问作者Flamer