服务器如何将80端口的HTTP请求路由至Docker Engine？

背景 #

• 每台联网服务器都有一个IP地址。
• 每台服务器都存在端口与运行服务的映射关系（一个端口对应一个服务）。
• 浏览器向服务器请求网页时，会通过80端口访问服务器IP（经DNS查询获取）；服务器收到80端口请求后，通过端口映射找到对应的HTTP服务器，将请求传递过去，再把HTTP服务器返回的页面数据发回客户端。
• 该HTTP服务器运行在Docker启动的容器中。

假设 #

• 服务器已安装Docker Engine。
• Docker启动了若干副本容器，每个容器运行相同的HTTP服务器以提供Web应用服务。
• 已为Web服务发布端口80:3000，即Docker会将主机80端口的请求路由至容器内3000端口（对应运行的HTTP服务器）。

核心问题 #

当浏览器向服务器IP的80端口发送请求时，服务器如何知晓应将流量路由至Docker？

回答 #

核心逻辑是Docker自动修改了主机的网络路由/防火墙规则，让主机内核直接把80端口的流量导向Docker的网络栈：

1. 当你执行端口发布操作（比如docker run -p 80:3000或通过Compose/Swarm配置端口映射）时，Docker会自动在主机的网络层添加转发规则：
   • 在Linux系统上，Docker会修改iptables（内核级防火墙）的PREROUTING链，添加规则将所有发往主机80端口的TCP/UDP流量，转发到Docker管理的内部网桥（默认是docker0）。
   • 在Windows/macOS上，Docker会通过WinNAT（Windows）或pf（macOS）配置类似的端口转发规则，把主机80端口的流量导向Docker虚拟机的网络栈。
2. 这些规则是内核级别的，优先级远高于普通程序的端口监听——也就是说，主机内核会先根据这些规则把80端口的流量转交给Docker，而不是让其他监听80端口的程序接收。
3. 流量进入Docker的网络栈后，再由Docker负责后续路由：如果是多副本容器，Docker会通过内置的负载均衡机制（比如Swarm服务模式的VIP机制）把流量分发到不同的容器实例，最终传递到容器内3000端口的HTTP服务器。

简单来说，不是“服务器主动知晓要发往Docker”，而是Docker提前通过修改主机网络规则，“抢注”了80端口的流量路径，让内核自动把相关流量转过来。

内容的提问来源于stack exchange，提问作者Magnus