Docker桥接网络中NGINX无法识别局域网访问的问题咨询

为什么NGINX识别到的是WAN IP？ #

核心原因是NAT发夹路由（Hairpin NAT）未正确配置，叠加Docker桥接网络的SNAT转发导致：

• 本地设备通过域名访问时，虽然DNS已经把域名解析到反向代理的本地IP，但如果路由器没开启发夹路由，流量会先被发送到WAN接口，再由路由器转发回局域网，此时NGINX接收到的客户端IP就是你的公网WAN IP。
• Docker桥接模式下，容器的端口映射会经过Docker网桥做SNAT转换，默认情况下NGINX拿到的是Docker网桥的IP；但你的场景中流量绕了WAN，所以最终显示的是WAN IP。

解决步骤 #

1. 开启路由器的NAT发夹路由功能 #

大部分家用路由器（华硕、小米、TP-Link等）都有“NAT环回”“发夹路由”或“本地DNS重绑定保护白名单”的选项，开启后：

• 本地设备访问域名解析到的本地IP时，流量会直接在局域网内部转发，不会绕到WAN，NGINX就能获取到真实的局域网客户端IP。

2. 调整NGINX配置，正确获取真实客户端IP #

Docker桥接模式下，需要告诉NGINX信任Docker网桥的IP段，从而还原真实客户端IP。在你的反向代理配置块中添加以下内容（注意修正原配置的拼写错误denyl为deny）：

# 信任Docker默认网桥的IP段（实际网桥IP若有调整请对应修改，默认是172.17.0.0/16）
set_real_ip_from 172.17.0.0/16;
# 从X-Forwarded-For头读取真实客户端IP
real_ip_header X-Forwarded-For;
# 递归解析多层转发后的真实IP
real_ip_recursive on;

# 你的原有访问控制规则
allow my.local.network.vlan1/24;
allow my.local.network.vlan2/24;
deny all;

3. 断网/动态WAN IP的应对方案 #

• 稳定本地DNS解析：用本地DNS服务器（路由器内置DNS、Pi-hole等）把域名固定解析到反向代理的本地IP，断网时不会依赖公网DNS，确保域名始终指向本地服务。
• 抛弃WAN IP依赖：通过发夹路由和NGINX真实IP配置，让本地访问流量走局域网链路，这样不管WAN IP怎么变化，只要设备在局域网段内，就能通过allow规则正常访问，无需手动添加WAN IP到规则里。
• 证书可用性保障：证书存储在本地，只要证书在有效期内，断网时HTTPS访问完全不受影响；若需续期证书，等网络恢复后执行续期操作即可。

4. 是否需要切换到主机模式？ #

主机模式下，容器直接使用宿主机的网络栈，不需要端口映射，NGINX可以直接获取到客户端的真实IP，无需额外配置real_ip规则。但缺点也很明显：

• 容器失去网络隔离性，无法和其他容器复用相同端口。
• 容器的网络配置直接暴露在宿主机网络中。

如果路由器无法开启发夹路由，或桥接模式的配置过于繁琐，可以考虑切换到主机模式；否则优先保留桥接模式，维持容器网络的隔离优势。

内容的提问来源于stack exchange，提问作者ZeroW