SSH远程Docker容器连接主机服务遇端口占用问题的解决方法

问题原因 #

你执行的SSH远程端口转发命令ssh user@address -i xxx.pem -R 54321:localhost:54321会在Ubuntu远程主机上监听54321端口（若SSH服务器配置GatewayPorts=yes，则监听0.0.0.0:54321；默认仅监听localhost:54321）。而Docker的-p 54321:54321参数会尝试让主机监听0.0.0.0:54321，两者端口占用冲突，导致启动失败。

解决方案 #

方案1：修改SSH转发端口，避免冲突 #

直接更换SSH远程转发的端口，让Docker可以正常映射目标端口：

1. 重新执行SSH转发命令，将远程端口改为未被占用的端口（比如54322）：

   ssh user@address -i xxx.pem -R 54322:localhost:54321
   

2. 启动Docker容器时，无需映射54321端口（或按需映射其他端口），容器内通过远程主机的Docker网关IP（通常是172.17.0.1）访问54322端口，即可连接到Windows主机的服务端：

   docker run -it some_container bash
   # 容器内执行连接命令，例如：
   # curl 172.17.0.1:54322
   

方案2：让SSH转发仅绑定localhost，使用Docker主机网络 #

让SSH转发仅监听远程主机的localhost，然后让容器直接使用主机网络，避免端口映射：

1. 修改SSH转发命令，明确指定绑定远程主机的localhost：

   ssh user@address -i xxx.pem -R localhost:54321:localhost:54321
   

2. 启动容器时使用--network=host参数，直接复用主机网络栈：

   docker run -it --network=host some_container bash
   # 容器内直接访问localhost:54321即可连接Windows服务端
   

方案3：用iptables替代Docker端口映射 #

如果一定要用自定义网络且不修改端口，可按以下步骤配置iptables：

1. 先启动容器，不指定-p参数：

   docker run -it --name client_container some_container bash
   

2. 获取容器的IP地址：

   docker inspect -f '{{range.NetworkSettings.Networks}}{{.IPAddress}}{{end}}' client_container
   

   假设输出为172.17.0.2（实际以你的容器IP为准）。
3. 开启主机IP转发：

   echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
   

4. 添加iptables规则：
   • 允许主机接收54321端口的TCP流量：

     sudo iptables -A INPUT -p tcp --dport 54321 -j ACCEPT
     

   • 将主机54321端口的流量转发到容器的54321端口：

     sudo iptables -A PREROUTING -t nat -p tcp --dport 54321 -j DNAT --to-destination 172.17.0.2:54321
     

   • 配置返程流量的地址伪装，确保容器返回的流量能正确回到客户端：

     sudo iptables -A POSTROUTING -t nat -p tcp -d 172.17.0.2 --dport 54321 -j MASQUERADE
     

5. 此时，外部（或容器内）访问远程主机的54321端口，流量会被转发到容器内的54321端口，同时SSH转发的localhost:54321仍可正常连接Windows服务端。

内容的提问来源于stack exchange，提问作者mskz