为何Docker容器内Tomcat配置监听127.0.0.1时无法被外部访问

问题根本原因 #

127.0.0.1是本地环回地址，绑定该地址的服务只能接收来自同一网络命名空间内的请求，而Docker容器拥有独立的网络命名空间，外部访问流量自然无法被Tomcat处理：

• Docker容器默认拥有完全隔离的网络栈，有独立的网卡、路由规则、端口监听逻辑，和宿主机、其他容器的网络环境互不互通。
• 从宿主机或外部网络访问容器端口时，流量是通过Docker分配的虚拟网卡进入容器，请求的目标IP是容器的虚拟网卡IP，而非127.0.0.1。
• Tomcat绑定127.0.0.1后，内核只会把目标地址为127.0.0.1的请求转发给Tomcat，其余来源的请求会被直接丢弃。你抓包看到的TCP三次握手是宿主机上的Docker端口代理进程和浏览器完成的，代理将请求转发到容器时被拦截，所以不会返回HTTP响应。

修复方案 #

如果需要允许外部访问容器内的Tomcat，修改server.xml中Connector的address属性为0.0.0.0即可，该地址代表监听容器内所有可用网卡的请求：

<Connector port="80" 
           protocol="HTTP/1.1" 
           address="0.0.0.0"
           connectionTimeout="20000" />

如果仅需要允许宿主机本地访问容器Tomcat，不需要修改Tomcat配置，只需在启动容器时将端口绑定到宿主机的127.0.0.1即可：

docker run -p 127.0.0.1:80:80 <你的镜像名>

该配置下只有宿主机本地可以访问80端口，外部网络无法访问，不会有安全风险。

内容的提问来源于stack exchange，提问作者Danny Song