同主机Docker容器通过公网IP访问已暴露端口容器超时问题

这是Ubuntu 20.04环境下UFW与Docker iptables规则冲突导致的发夹NAT（Hairpin NAT）失效问题，三类访问路径的差异直接对应现象：

• 外部公网访问：流量进入主机PREROUTING链后直接被Docker做DNAT转发到目标NGINX容器，匹配DOCKER链的ACCEPT规则放行，访问正常
• 主机本地访问：流量走OUTPUT链完成DNAT，不经过FORWARD链的UFW拦截，访问正常
• 同主机其他容器访问公网IP:8080：流量从容器网桥进入主机后走FORWARD链，被UFW默认的转发丢弃策略拦截，因此连接超时。你之前临时开放所有端口能通，本质就是绕过了这条拦截规则。

该方案无需调整现有容器组网、不影响公网HTTPS访问逻辑、不降低原有防火墙安全等级，操作步骤如下：

• 修改UFW默认转发策略
  编辑/etc/default/ufw文件，找到DEFAULT_FORWARD_POLICY配置项，将默认值修改为：

DEFAULT_FORWARD_POLICY="ACCEPT"

该配置仅修改转发链默认策略，不会放开公网到主机未授权端口的访问，主机入站流量依然受UFW INPUT链规则管控。

• 开启内核发夹NAT必要参数
  编辑/etc/ufw/sysctl.conf文件，追加以下配置（已有对应配置则直接修改参数值为1）：

net/ipv4/ip_forward=1
net/ipv4/conf/all/route_localnet=1
net/ipv4/conf/default/route_localnet=1
net/ipv4/conf/docker0/route_localnet=1

该配置允许主机对本地网桥网段的流量做回环地址转换，是容器通过主机公网IP访问本地映射端口的必要内核参数。

• 重载配置生效
  依次执行以下命令加载配置，无需重启Docker服务：

sysctl -p /etc/ufw/sysctl.conf
ufw reload

配置完成后逐一验证访问逻辑，确认符合预期：

• 外部公网机器执行curl http://123.123.123.123:8080正常返回NGINX响应，jwilder/nginx-proxy的HTTPS转发逻辑正常
• 主机本地执行相同curl命令正常返回
• 同主机任意其他容器内执行相同curl命令不再超时，正常返回响应
• 未通过Docker ports配置映射、也未在UFW中放行的端口，依然无法从公网访问，原有安全策略生效。

注意：如果后续新增自定义Docker网桥，无需重复调整上述配置，规则对所有Docker创建的网桥默认生效。该方案不需要将两个独立Compose栈的容器加入同一网络，完全满足保留公网路由访问路径的要求。

内容的提问来源于stack exchange，提问作者Maarten de Graaf