Ubuntu环境下Docker容器端口无法被宿主机访问的问题排查

核心排查方向 #

• 服务绑定地址错误：默认绑定127.0.0.1会导致仅容器内部localhost可访问，必须绑定0.0.0.0才能对外暴露
• TLS证书配置失效：容器化后证书路径错误、未挂载证书文件，或证书域名与访问地址不匹配
• 端口映射未实际生效：服务未监听指定端口，或Docker端口映射配置有误

具体修复步骤 #

1. 修正服务监听地址 #

进入容器执行以下命令，确认服务监听地址：

ss -tulpn | grep 5000

若输出显示127.0.0.1:5000，需修改服务配置/启动参数，将监听地址改为0.0.0.0：

• Python WSS服务端示例修改：

  # 原代码
  # websockets.serve(handler, "localhost", 5000, ssl=ssl_context)
  # 修改后
  websockets.serve(handler, "0.0.0.0", 5000, ssl=ssl_context)
  

• C++应用需检查启动参数或配置文件中的绑定地址项，改为0.0.0.0

2. 验证TLS证书有效性 #

• 确认证书挂载：在Docker Compose中添加证书目录挂载，确保容器内可访问证书文件：

  services:
    webapi:
      volumes:
        - ./local-certs:/app/certs  # 宿主机证书目录映射到容器内路径
  

• 容器内证书测试：执行以下命令测试TLS握手是否正常：

  openssl s_client -connect localhost:5000
  

  若出现verify return:1则证书有效；若提示握手失败，检查证书文件路径、权限，或证书域名是否匹配localhost（自签名证书需确保CN字段包含localhost）
• 测试客户端兼容：使用自签名证书时，客户端需临时禁用验证（仅测试用）：

  import ssl
  ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
  ssl_context.check_hostname = False
  ssl_context.verify_mode = ssl.CERT_NONE
  

3. 确认端口映射与连通性 #

• 检查Docker端口映射：执行docker ps，确认端口映射显示为0.0.0.0:5000->5000/tcp或:::5000->5000/tcp，而非仅绑定宿主机127.0.0.1
• 宿主机端口连通性测试：

  nc -zv localhost 5000
  

  若提示Connection refused，需确认容器内服务已启动并监听5000端口
• 清理无效防火墙配置：Ubuntu容器内默认无firewalld，无需执行firewall-cmd操作；宿主机已开放5000端口即可

4. 容器内测试的额外排查 #

若容器内测试脚本也无法连接：

• 查看服务日志确认启动状态：

  docker logs <your-container-name>
  

• 检查服务是否拒绝容器内localhost请求，或证书配置是否仅允许特定IP访问

复现案例快速修复（Python WSS服务端） #

完整可运行的容器化Python WSS服务端配置：

服务端代码（server.py） #

import asyncio
import websockets
import ssl

async def echo(websocket):
    async for message in websocket:
        await websocket.send(message)

async def main():
    ssl_context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
    # 容器内证书路径（需对应挂载目录）
    ssl_context.load_cert_chain('/app/certs/server.crt', '/app/certs/server.key')
    # 绑定0.0.0.0对外暴露
    async with websockets.serve(echo, "0.0.0.0", 5000, ssl=ssl_context):
        await asyncio.Future()

if __name__ == "__main__":
    asyncio.run(main())

Docker Compose配置（docker-compose.yml） #

version: '3.8'
services:
  wss-server:
    build: .
    ports:
      - "5000:5000"
    volumes:
      - ./certs:/app/certs  # 宿主机certs目录存放server.crt和server.key

内容的提问来源于stack exchange，提问作者DKyb