Docker仅映射监听端口时，服务程序的运行机制是什么？

首先纠正一个关键误解：TCP连接建立后，服务器并不会切换到随机端口和客户端通信。

1. TCP连接的核心逻辑 #

Nginx的80端口是监听套接字，负责接收客户端的连接请求。当三次握手完成、连接建立后，服务器会创建一个新的套接字来处理这个连接，但这个新套接字的本地端口依然是80，而非随机端口。

TCP连接是通过「客户端IP:客户端随机端口 + 服务器IP:80端口」的四元组唯一标识的。客户端后续发送的所有数据包，目标端口依然是服务器的80端口，服务器会根据四元组来区分不同的连接，不需要切换端口。

2. Docker端口映射的工作原理 #

Docker的端口映射（比如-p 80:80）本质上是在主机的iptables中配置了DNAT（目的地址转换）规则：

• 当外部客户端向主机的80端口发送数据包时，iptables会将数据包的目标地址和端口转换为容器的内部IP和80端口，转发给容器内的Nginx。
• 容器内Nginx返回的数据包，会通过SNAT（源地址转换）转换为主机的IP和端口，再发送回客户端。

所有属于已建立连接的数据包，都会被iptables根据四元组自动匹配转发规则，不需要额外映射随机端口。

3. 为什么会有“随机端口”的错觉？ #

你可能看到服务器端有大量随机端口的TIME_WAIT或ESTABLISHED状态连接，这些其实是客户端的源端口，而非服务器的本地端口。服务器的本地端口始终是80，客户端用自己的随机端口和服务器的80端口建立连接，以此实现多连接复用。

内容的提问来源于stack exchange，提问作者Nahin Khan