升级Windows版Docker后服务仅localhost可访问无法外部访问该如何排查

问题排查步骤 #

1. 确认Docker端口绑定配置 #

• 执行docker ps查看PORTS列输出，若显示为127.0.0.1:7878->7878/tcp，说明端口仅绑定了本地环回地址，仅允许localhost访问。
• 修复方法：启动容器时将端口映射规则改为0.0.0.0:7878:7878或直接简写为7878:7878；若使用docker-compose，删除ports配置项中多余的127.0.0.1:前缀即可。

2. 修复WSL2端口转发失效问题 #

WSL2默认会自动将内部端口转发到Windows宿主机，Docker/Windows更新后容易出现转发规则丢失：

• 先在WSL终端执行ip a，查询eth0网卡的IP（一般为172开头的私有地址），在Windows宿主机直接访问http://<WSL eth0 IP>:7878，如果可以正常访问，即可确认是转发规则失效。
• 管理员权限打开Windows命令提示符，手动添加转发规则：

netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=7878 connectaddress=<WSL eth0 IP> connectport=7878

• 确认此前添加的防火墙规则作用域包含局域网/公网网段，未被限制为仅本地访问。

3. 排查VPN容器路由抢占问题 #

你提到服务同时接入了VPN容器网络，大概率是VPN启动后修改了容器默认路由，外部请求的回包被导到VPN隧道导致无法返回：

• 进入业务容器执行ip route，如果默认路由指向VPN容器网关，即可确认是该问题。
• 修复方法：给容器添加静态路由，将局域网段（如192.168.0.0/16、10.0.0.0/8）的回包指向原生桥接网络的网关；如果使用gluetun等通用VPN容器，直接添加环境变量FIREWALL_OUTBOUND_SUBNETS=192.168.0.0/16即可自动配置静态路由。

4. 链路追踪定位阻断位置 #

• 局域网其他设备执行tracert <宿主机IP>确认可达后，用tcping <宿主机IP> 7878检测端口连通性，若不通则问题出在Windows防火墙或portproxy转发配置。
• 在WSL内执行tcpdump -i any port 7878抓包，同时用局域网设备访问对应端口：能抓到包说明问题在容器路由/端口配置层面，抓不到包则问题出在Windows到WSL的转发链路。

内容的提问来源于stack exchange，提问作者Xanderu