Docker挂载卷中Unix Socket连接被拒绝问题求助

以下是针对容器与主机间Unix Socket连接失败的具体排查步骤：

• 确认容器内Socket的实际监听状态
  在容器内执行ss -xlnp（或netstat -xlnp，需先安装net-tools），查看输出中是否存在目标Socket路径及对应监听进程ID。这能验证进程是否真的在预期路径上监听Socket，避免因路径配置错误导致连接失败。同时用lsof -p <进程ID>核对进程打开的Socket文件路径，确保与挂载卷内的文件一致。

• 校验Docker卷挂载的一致性
  执行docker inspect <你的容器名称>，查看Mounts字段下的Source（主机路径）和Destination（容器内路径）是否完全匹配。若路径映射错误，主机访问的Socket文件可能并非容器内进程监听的那个。Mac用户可尝试重启Docker Desktop清除文件共享缓存；同时删除现有卷并重新创建，排除卷挂载异常。

• 尝试使用Docker命名卷替代主机绑定挂载
  主机绑定挂载（尤其是Mac的APFS与容器内Linux文件系统）可能存在Unix Socket兼容性问题。改用Docker命名卷，它基于Linux文件系统，兼容性更好。示例Compose配置：

  volumes:
    socket-storage:
  services:
    your-service:
      volumes:
        - socket-storage:/path/to/socket/dir
  

  主机端可通过docker volume inspect socket-storage获取卷的实际挂载路径，再访问该路径下的Socket文件测试连接。

• 排查Linux主机的安全策略限制
  若在Linux环境下，需检查SELinux或AppArmor规则是否阻止了跨容器/主机的Socket访问：

  • 临时关闭SELinux：执行sudo setenforce 0后重试连接，若恢复正常则需调整SELinux策略。
  • 检查AppArmor：执行sudo aa-status查看容器对应的配置文件，确认是否有禁止Socket访问的规则。

• 交叉测试Socket连通性

  • 在主机挂载目录下创建测试Socket：socat UNIX-LISTEN:/path/to/test.sock,fork EXEC:/bin/cat，然后进入容器内用socat UNIX-CONNECT:/容器内挂载路径/test.sock STDIN测试连接，验证卷挂载的双向文件访问是否正常。
  • 反过来在容器内创建测试Socket，主机端尝试连接，定位问题出在Socket创建还是跨挂载访问环节。

• 测试主机网络模式（仅Linux有效）
  临时将容器的network_mode设为host，重启容器后尝试连接Socket。这能排除自定义网络可能带来的隐性限制，但仅作测试用，不建议作为生产方案。

内容的提问来源于stack exchange，提问作者Brennan Lamey