如何在Container-Optimized OS中让容器同时绑定VM外部IP并访问同宿容器

核心原因 #

COS默认采用Docker的bridge网络模式，此时容器里的127.0.0.1指向容器自身的回环地址，而非宿主机；手动添加--net host后，容器直接复用宿主机网络栈，但COS的安全策略会限制host模式下的外部端口暴露，导致条件A失效。

可行解决方案 #

方案1：用host.docker.internal访问宿主机容器（推荐）

保持默认bridge模式（满足条件A），在容器内用host.docker.internal:3010替代127.0.0.1:3010访问宿主机上的目标容器。

创建容器的命令示例：

docker run -d -p <外部IP>:<容器端口>:<容器内部端口> --name target-container <镜像名>

方案2：通过宿主机内网IP访问

1. 先获取COS虚拟机的内网IP（可通过ip addr命令查看，比如10.128.0.2）
2. 创建容器时保持端口绑定到外部IP（满足条件A）：

docker run -d -p <外部IP>:<容器端口>:<容器内部端口> --name target-container <镜像名>

3. 在容器内直接访问<宿主机内网IP>:3010即可连接到宿主机上的目标容器。

方案3：自定义bridge网络+调整容器监听地址

如果宿主机上的容器允许修改监听地址，将其改为0.0.0.0:3010或宿主机内网IP，再按以下步骤操作：

1. 创建自定义bridge网络：

docker network create my-custom-net

2. 将两个容器都加入该网络：

docker run -d -p <外部IP>:<容器端口>:<容器内部端口> --net my-custom-net --name target-container <镜像名>
docker run -d -p 0.0.0.0:3010:<内部端口> --net my-custom-net --name local-container <镜像名>

3. 此时target-container可直接用local-container:3010访问另一个容器，同时端口绑定到外部IP满足条件A。

关键提示 #

不要使用--net host模式，COS的安全策略会限制该模式下的外部端口暴露。默认bridge模式下COS已配置iptables规则允许外部流量访问容器绑定的端口，只需解决容器访问宿主机本地服务的路径问题即可。

内容的提问来源于stack exchange，提问作者zino