如何从外部机器访问Hyper-V虚拟机中运行的Docker容器？

1. 确认docker-host虚拟机的Hyper-V网络配置 #

• 确保docker-host使用的Hyper-V虚拟交换机类型为外部网络（External），绑定到物理集群的可用物理网卡。内部/专用网络会隔离外部访问，必须切换为外部网络。
• 验证外部机器能ping通docker-host的IP地址。如果ping不通，先排查虚拟交换机的VLAN设置、物理集群的路由规则，确保虚拟机与外部网络路由可达。

2. 验证Docker端口映射有效性 #

• 执行docker ps查看容器的PORTS字段，确认显示为0.0.0.0:80->80/tcp或:::80->80/tcp，说明端口已绑定到主机所有网卡。
• 在docker-host上检查端口监听状态：
  • Windows：netstat -ano | findstr ":80"，确认有docker-proxy进程监听80端口
  • Linux：ss -tulpn | grep :80，确认对应端口被docker-proxy占用
• 检查容器内服务的监听地址：确保容器内的服务绑定到0.0.0.0而非127.0.0.1，否则仅容器内部可访问，主机无法转发请求。

3. 排查防火墙规则 #

• docker-host本地防火墙：
  • Windows：在高级防火墙中添加入站规则，允许TCP 80端口的外部连接
  • Linux：执行ufw allow 80/tcp（若用ufw）或配置iptables规则开放80端口
• 物理集群节点防火墙：确保物理节点的防火墙未拦截目标端口（80），外部流量需先通过物理节点到达虚拟机。
• Linux docker-host的Docker iptables规则：执行iptables -L DOCKER，确认存在允许外部访问容器端口的规则。若缺失，重启Docker服务systemctl restart docker重新生成规则。

4. 配置故障转移集群的端口转发（若需） #

• 如果docker-host使用NAT网络，需在Hyper-V虚拟交换机上配置端口转发，将物理节点的端口映射到docker-host的对应端口（如物理节点IP:80 → docker-host IP:80）。
• 若物理集群使用VIP（虚拟IP），需在集群负载均衡配置中添加端口转发规则，将VIP的80端口指向docker-host的80端口，并确保故障转移时规则同步生效。

5. 抓包验证流量路径 #

• 若以上步骤无效，在docker-host上抓80端口的流量，确认外部请求是否到达主机；再进入容器内部抓包，验证主机是否将请求转发至容器，定位流量中断的环节。

内容的提问来源于stack exchange，提问作者LorenDB