如何与容器化API通信？UFW仅开放80/443端口下的容器互联问题

同Droplet内容器互通原理 #

你之前能通过Droplet公网IP+端口连通Postgres容器，和Nginx没有任何关系，核心原因是：
Docker默认会修改宿主机的iptables规则，优先级高于UFW配置的过滤规则，只要容器启动时做了端口映射到宿主机，哪怕UFW没有开放对应端口，用公网IP也能直接访问该容器端口。
同Droplet内的容器并不是因为共享IP才能通信，常规有两种互通逻辑：

• 多个容器加入同一个Docker自定义网络，可直接通过容器名作为域名互访，不需要经过公网，也不需要映射端口到宿主机
• 容器做了端口映射到宿主机，通过宿主机IP（公网/内网都可）加映射端口访问，流量走宿主机iptables转发到对应容器

FastAPI访问超时原因排查 #

使用Droplet公网IP+FastAPI端口访问超时，通常是以下几个原因导致：

• FastAPI容器启动时未配置端口映射：启动命令缺少-p 宿主机端口:容器内端口参数，宿主机没有对应端口监听，无法转发请求
• FastAPI服务绑定地址错误：启动时绑定了容器内的127.0.0.1而非0.0.0.0，仅允许容器内部访问，外部流量无法接入
• 云服务商外网安全组拦截：DigitalOcean Droplet默认的外网防火墙如果没有放行FastAPI映射的端口，公网访问会被直接拦截

连接FastAPI的方案 #

可以使用和连接Postgres完全相同的方式连接FastAPI，只要满足两个前提即可：

1. 启动FastAPI容器时配置正确的端口映射，例如容器内服务跑在8000端口，启动参数添加-p 8000:8000
2. FastAPI启动时绑定0.0.0.0地址，例如uvicorn启动命令为uvicorn main:app --host 0.0.0.0 --port 8000

更推荐内部服务使用Docker自定义网络互通，将所有需要互访的容器加入同一个自定义网络后，其他容器直接通过http://FastAPI容器名:容器内端口即可访问，不需要映射端口到公网，安全性和访问效率都更高。

访问FastAPI的完整流程 #

公网IP访问流程 #

1. 客户端（容器内）发起请求到Droplet公网IP:FastAPI映射端口
2. 请求到达宿主机后匹配iptables的DOCKER链规则，自动转发到FastAPI容器的对应端口
3. FastAPI处理请求后原路返回响应

Docker内网访问流程 #

1. 同一自定义网络内的容器发起请求到http://FastAPI容器名:容器内部端口
2. Docker内置DNS服务将容器名解析为FastAPI容器的内网IP
3. 流量直接通过Docker内部网络转发到目标容器，不需要经过公网链路

内容的提问来源于stack exchange，提问作者avnav99