Docker同端口多容器共享network_mode端口冲突及容器内端口重定向方案咨询

一、不使用Docker -p参数实现容器内部端口重定向（无需特权模式） #

• 使用用户态端口转发工具socat实现无特权转发
  不需要修改原有应用镜像，也不需要开启privileged权限，仅需要在共享网络栈的侧车容器中运行socat即可完成端口转发，示例命令：

  socat TCP-LISTEN:8020,fork TCP:127.0.0.1:8000
  

  该命令会将本地8020端口收到的所有流量转发到本地8000端口，完全工作在用户态，不需要内核级权限。
• 若原有镜像中自带ncat等工具，也可以直接用ncat实现相同能力，逻辑与socat一致。

二、network_mode共享网络场景下多容器监听同端口的落地方案 #

所有方案均支持独立docker-compose管理各个服务：

• 方案1：自定义网桥+VPN网关模式（推荐，无端口冲突问题）
  1. 提前创建自定义Docker网桥，执行命令：docker network create --subnet 172.20.0.0/16 vpn-bridge
  2. 启动VPN容器时固定IP为该网桥下的静态地址（比如172.20.0.2），并添加配置sysctls: - net.ipv4.ip_forward=1开启IP转发能力，无需开启特权模式
  3. 每个子容器的独立docker-compose中，配置网络为上述vpn-bridge，并设置默认路由网关为VPN容器的静态IP，即可实现所有子容器流量走VPN通道，且每个子容器拥有独立网络栈，互不干扰，可同时监听8000端口不会冲突
  4. 需要暴露端口到宿主机时，直接在VPN容器中配置Nginx反向代理，将不同的外部端口转发到对应子容器的固定IP+8000端口即可
• 方案2：共享VPN网络栈+侧车端口隔离
  若不想调整现有共享网络栈的架构，可按以下步骤配置：
  1. 子容器启动时修改应用的监听地址，默认监听0.0.0.0:8000的话，改成仅监听127.0.0.x:8000（x为不同数字，比如1、2、3），不同子容器监听不同lo地址的同端口，不会产生冲突
  2. 每个子容器配套的socat侧车，同样共享VPN容器的网络栈，监听一个唯一的对外端口（比如8001、8002），转发到对应子容器的127.0.0.x:8000
  3. 最后只需要在VPN容器中映射这些唯一的对外端口到宿主机即可，无需修改原有应用的监听端口配置

内容的提问来源于stack exchange，提问作者Pascal Z.