Docker端口发布失效：仅本地可访问，外部请求超时求助

问题现象 #

• 容器在localhost环境下用curl或浏览器访问正常，但外部通过服务器IP请求时超时
• Kong网关和基础whoami容器均出现此问题，仅在docker run时添加--network host参数，外部才可正常访问，但该模式不适用于生产环境
• 服务器本身及防火墙配置无异常：关闭Docker后启动普通Web服务，可通过IP正常访问
• 核心问题：Docker任意bridge类型网络（默认或自定义）的映射端口，外部请求超时；未映射的随机端口则直接拒绝连接

运行命令 #

whoami容器启动命令 #

docker run -d -p 80:80 containous/whoami

Kong网关容器启动命令 #

docker run -d --name kongtest \
  -p 0.0.0.0:80:8000 -p 0.0.0.0:443:8443 \
  kong/kong-gateway:3.0.0.0-alpine

容器状态输出（docker ps） #

88a4bf28bbcd   kong/kong-gateway:3.0.0.0-alpine   "/docker-entrypoint.…"   5 seconds ago   Up 5 seconds (health: starting)   8001-8004/tcp, 8444-8447/tcp, 0.0.0.0:80->8000/tcp, 0.0.0.0:443->8443/tcp   kongtest

网络监听状态输出（netstat -lntup） #

默认/自定义Bridge网络模式下 #

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      384272/sshd: /usr/s 
tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      640858/docker-proxy 
tcp        0      0 127.0.0.53:53           0.0.0.0:*               LISTEN      384297/systemd-reso 
tcp        0      0 0.0.0.0:443             0.0.0.0:*               LISTEN      640845/docker-proxy 
tcp6       0      0 :::22                   :::*                    LISTEN      384272/sshd: /usr/s 
udp        0      0 127.0.0.53:53           0.0.0.0:*                           384297/systemd-reso 
udp        0      0 140.82.10.213:68        0.0.0.0:*                           384291/systemd-netw 

--network=host模式下 #

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      384272/sshd: /usr/s 
tcp        0      0 127.0.0.53:53           0.0.0.0:*               LISTEN      384297/systemd-reso 
tcp6       0      0 :::22                   :::*                    LISTEN      384272/sshd: /usr/s 
tcp6       0      0 :::80                   :::*                    LISTEN      708481/whoami       
udp        0      0 127.0.0.53:53           0.0.0.0:*                           384297/systemd-reso 
udp        0      0 140.82.10.213:68        0.0.0.0:*                           384291/systemd-netw

排查与解决方案 #

1. 检查Docker iptables规则 #

Docker依赖iptables实现端口转发，若规则丢失或被篡改会导致外部无法访问。执行以下命令检查：

iptables -L -n | grep DOCKER

正常情况下应存在DOCKER链，且有转发规则将外部流量导向docker-proxy。如果缺失，重启Docker服务恢复规则：

systemctl restart docker

若重启后仍异常，手动添加端口转发规则（以80端口为例）：

iptables -A FORWARD -p tcp --dport 80 -j DOCKER

2. 验证docker-proxy运行状态 #

从netstat输出看，bridge模式下docker-proxy已监听80/443端口，但需确认其是否正常转发流量。查看docker-proxy相关日志：

journalctl -u docker.service | grep proxy

若发现错误日志（如端口冲突、权限问题），对应排查：

• 用lsof -i :80确认宿主机无其他进程占用目标端口
• 检查docker-proxy进程是否有端口绑定权限

3. 开启内核IP转发功能 #

Docker需要内核开启IP转发，执行以下命令检查状态：

sysctl net.ipv4.ip_forward

若输出为net.ipv4.ip_forward = 0，则开启该配置：

sysctl -w net.ipv4.ip_forward=1

写入配置文件使其永久生效：

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p /etc/sysctl.conf

4. 检查Docker网络配置 #

查看默认bridge网络的详细配置：

docker network inspect bridge

确认Gateway和Subnet配置正常，且容器已正确接入该网络。若使用自定义bridge网络，需排查是否存在端口冲突或路由异常。

5. 确认防火墙FORWARD链规则 #

即使宿主机防火墙允许目标端口，也需确保允许Docker流量的转发。检查FORWARD链默认策略：

iptables -L FORWARD -n

若默认策略为DROP，添加允许规则：

iptables -P FORWARD ACCEPT

或针对Docker默认网段添加精准规则：

iptables -A FORWARD -s 172.17.0.0/16 -j ACCEPT
iptables -A FORWARD -d 172.17.0.0/16 -j ACCEPT

内容的提问来源于stack exchange，提问作者Jay McEh