如何调试Docker容器内的主机网络访问故障

wget返回unable to resolve host address本质为域名解析失败，排查前先在故障容器内执行apt update && apt install -y dnsutils curl iputils-ping netcat-openbsd traceroute tcpdump安装基础排查工具，避免容器默认精简环境缺命令无法操作。

分链路节点连通性排查命令 #

按访问链路从近到远依次排查：

1. 本地代理地址docker.host.internal:3128 #

• 域名解析校验：执行nslookup docker.host.internal，正常返回值应为宿主机对应Docker网桥的网关IP（通常为172.17.0.1段地址）。如果解析失败，说明Docker未自动注入宿主机域名映射，启动容器时需添加--add-host=docker.host.internal:host-gateway参数补全hosts配置。
• 端口连通校验：执行nc -zv docker.host.internal 3128，返回succeeded说明端口可达；返回Connection refused说明本地代理未开启局域网/容器访问权限；返回timed out说明宿主机防火墙拦截了容器到3128端口的请求。
• 代理可用性校验：执行curl -v -x http://docker.host.internal:3128 http://github.com -m 10，观察是否能正常返回HTTP响应头，确认本地代理本身转发逻辑正常。

2. 企业代理地址company.com/proxy:1234 #

• 域名解析校验：执行nslookup company.com，如果解析失败，先查看容器内/etc/resolv.conf配置的DNS服务器地址，确认是否使用了企业内网DNS，误配公共DNS会导致内网域名无法解析。
• 端口连通校验：执行nc -zv company.com 1234，如果超时则执行traceroute company.com查看路由中断位置，确认是否未连接企业VPN、内网路由规则未正常下发。
• 代理可用性校验：执行curl -v -x http://company.com:1234 http://github.com -m 10，如果返回403/407状态码，说明企业代理配置了访问权限、账号认证规则，未配置对应认证信息也会导致访问失败。

3. 目标地址github.com #

• 域名解析校验：执行nslookup github.com，如果解析失败可临时将容器DNS改为公共DNS（114.114.114.114、8.8.8.8）测试，确认是否存在DNS污染问题。
• 端口连通校验：执行nc -zv github.com 443，超时则执行traceroute github.com查看路由断点，确认是否被出口防火墙拦截。
• 直连可用性校验：执行curl -v https://github.com -m 10，观察TLS握手流程是否正常完成，是否存在证书错误、连接重置等异常。

其他通用网络故障排查方案 #

• 校验容器网络模式：执行ip a查看容器网卡配置，确认容器未使用none等隔离网络模式，已接入正确的Docker网桥并拿到合法IP、网关地址。
• 宿主机同操作对比：在宿主机上执行相同的解析、连通性测试命令，判断是仅容器网络异常，还是宿主机本身就无法访问对应地址，缩小故障范围。
• 检查转发规则：在宿主机执行iptables -L -n查看Docker链的转发规则，确认无误加的DROP规则拦截容器出站流量。
• 抓包定位丢包点：在容器内执行tcpdump -i any host 目标地址抓包，同时在宿主机对应Docker网桥接口同步抓包，确认请求包是否从容器正常发出、是否收到回包，精准定位丢包位置。
• 校验代理环境变量：执行env | grep -i proxy查看容器内HTTP_PROXY/HTTPS_PROXY/NO_PROXY变量配置，确认是否存在端口写错、代理协议不匹配、NO_PROXY规则漏配导致请求绕路的问题。

内容的提问来源于stack exchange，提问作者Boschie