Docker容器未发布端口却仍可访问8911端口的排查求助

• 检查CapRover反向代理配置
  CapRover依赖Nginx做反向代理，容器端口可能通过代理转发而非Docker直接发布：

  • 登录CapRover后台，进入目标应用的App Configs -> Nginx Configs，确认是否存在将外部请求转发到容器内部8911端口的规则（如proxy_pass http://[容器IP]:8911;）。
  • 直接查看服务器上CapRover生成的Nginx配置文件，路径通常为/captain/data/nginx/applications/[应用名].conf，执行命令：cat /captain/data/nginx/applications/your-app-name.conf，验证代理规则是否指向容器8911端口。

• 查看容器内部端口绑定
  docker ps仅显示主机发布的端口，容器内部的端口监听需通过docker inspect或容器内命令确认：

  • 执行docker inspect [容器ID/名称] | grep -A 10 "Ports"，查看容器内部端口的绑定状态，以及是否存在Docker网络内部的转发关系。
  • 进入容器执行docker exec -it [容器ID] netstat -tulpn（或ss -tulpn，需容器内安装对应工具），确认进程是否实际在8911端口监听。

• 排查Docker网络模式
  CapRover默认给应用分配独立Docker网络，容器可通过内部网络与代理通信，无需发布端口到主机：

  • 执行docker network ls列出所有Docker网络，找到目标应用所属的网络（名称通常包含应用名或captain前缀）。
  • 执行docker network inspect [网络名称]，确认目标容器与CapRover的Nginx代理容器（如captain-nginx）在同一网络内，这样代理可直接访问容器8911端口。

• 检查主机端口监听进程
  直接排查主机上8911端口的监听进程：

  • 执行ss -tulpn | grep 8911，如果结果显示是CapRover的Nginx进程（如nginx: master process），说明是Nginx在监听主机8911端口并转发到容器，这种场景下docker ps不会显示容器的端口映射。

• 验证CapRover应用端口设置
  登录CapRover后台，进入目标应用的App Configs -> Port Mapping，确认Container Port设置为8911。CapRover在多数场景下会自动通过Nginx完成代理，无需手动配置Docker端口映射，因此docker ps不会显示发布端口。

内容的提问来源于stack exchange，提问作者pcace