Docker Engine与Docker Desktop访问主机服务差异及稳定方案问询

问题场景 #

项目包含前端与后端API两个服务：

• 前端暴露至主机3000端口
• 后端API暴露至主机4000端口

为实现CORS，配置http://foo访问前端、http://api.foo访问API，通过后端compose.yml中的Nginx代理服务转发80端口请求，API所在Docker网络为170.18.0.0/24。当前Nginx配置如下：

events {
  worker_connections 1024;
}

http {
  upstream api {
    server api:3000;
  }

  upstream frontend {
    server 170.18.0.1:3000;
  }

  server {
    listen 80;
    server_name ~^api\..+$;

    location / {
      proxy_pass http://api;
    }
  }

  server {
    listen 80;
    server_name ~^(?!api\.)[^.]+\.?.+$;

    location / {
      proxy_pass http://frontend;
    }
  }
}

异常现象 #

• Docker Engine环境下，代理至170.18.0.1:3000可正常工作
• Docker Desktop环境下，代理请求挂起并超时
• 容器可ping通170.18.0.1，但无法访问该地址的3000端口：

$ ping 170.18.0.1
PING 170.18.0.1 (170.18.0.1): 56 data bytes
64 bytes from 170.18.0.1: seq=0 ttl=42 time=0.059 ms
64 bytes from 170.18.0.1: seq=1 ttl=42 time=0.325 ms
64 bytes from 170.18.0.1: seq=2 ttl=42 time=0.248 ms

$ wget 170.18.0.1:3000
Connecting to 170.18.0.1:3000 (170.18.0.1:3000)
wget: can't connect to remote host (170.18.0.1): Operation timed out

临时方案为将170.18.0.1替换为用户LAN实际IP，但需手动配置且IP变更后失效，现提供以下稳定配置方案：

方案1：使用Docker Desktop内置主机别名host.docker.internal #

Docker Desktop提供专属DNS别名host.docker.internal，用于容器访问主机服务，该别名会自动解析为主机正确IP，无需手动配置。

修改Nginx中frontend上游配置：

upstream frontend {
  server host.docker.internal:3000;
}

优势：跨平台兼容（Windows/macOS/Linux Docker Desktop均支持），自动适配主机IP变化，无需人工干预。

方案2：将前端服务加入Docker网络，通过容器名访问 #

若前端服务也通过Docker部署，可将前端容器加入API所在的Docker网络，直接通过容器名访问，彻底摆脱主机IP依赖。

1. 在前端compose.yml中加入API网络：

services:
  frontend:
    # 其他配置省略
    ports:
      - "3000:3000"
    networks:
      - api-network

networks:
  api-network:
    external: true
    name: <你的API网络名称> # 对应170.18.0.0/24的网络

2. 修改Nginx中frontend上游配置：

upstream frontend {
  server frontend:3000; # 前端容器名称
}

优势：基于Docker内部网络通信，稳定性最高，同时避免主机端口暴露的潜在风险。

方案3：自定义Docker网络网关映射（Linux Docker Desktop专属） #

针对Linux环境下的Docker Desktop，可手动配置Docker网络网关，确保容器能通过网关访问主机服务。

1. 查看API网络的网关信息：

docker network inspect <你的API网络名称> | grep Gateway

2. 若网关无法被主机访问，重新创建网络时指定有效网关：

# 后端compose.yml的networks部分
networks:
  api-network:
    ipam:
      config:
        - subnet: 170.18.0.0/24
          gateway: 170.18.0.1 # 确保该网关是主机可监听的地址

同时需确保主机3000端口监听在所有网卡（0.0.0.0:3000），而非仅localhost，保证容器能通过网关访问服务。

内容的提问来源于stack exchange，提问作者David Baucum