无端口映射的Docker容器为何可访问？Traefik与pgadmin配置疑问

核心：Docker自定义子网的默认网络连通性 #

你创建的172.18.0.0/16是Docker的自定义桥接子网，Docker会在宿主机上生成对应的虚拟网桥设备。宿主机本身就接入了这个虚拟网络，因此可以直接访问该子网内所有容器的私有IP和开放端口——这并非Docker隔离特性失效，Docker的网络隔离核心是默认不将容器端口暴露到宿主机的公网/外部可访问接口，而非禁止宿主机与内部子网的通信。

明确「端口转发」与「内部网络访问」的差异 #

• 你未配置的ports字段（端口转发），作用是把容器端口映射到宿主机的物理网卡/外部接口，让局域网内其他设备能通过宿主机IP+端口访问容器。
• 直接访问172.18.0.3属于宿主机与容器在Docker内部虚拟网络的通信，是桥接网络的默认行为，不需要端口转发。

可选的限制方案 #

如果需要禁止宿主机直接访问容器私有IP，可通过以下方式实现：

• 使用none网络模式：但会切断容器与所有外部的通信（包括Traefik），仅适合完全隔离的场景
• 配置自定义iptables规则：拦截宿主机到容器子网的访问流量
• 使用macvlan网络：将容器直接接入物理局域网，但配置复杂度更高

内容的提问来源于stack exchange，提问作者Jzbach