libp2p节点部署在Docker中跨设备访问报ECONNREFUSED如何排查

• 云服务商安全组/网络ACL未开放3333端口入站规则
• Docker端口映射仅绑定了宿主机127.0.0.1回环地址，未绑定对外网卡地址
• 容器内libp2p节点仅监听容器内部回环地址，未监听0.0.0.0
• Docker自动修改的iptables规则覆盖了ufw配置，实际3333端口未放行
• 系统内核反向路径过滤（rp_filter）规则丢弃了外部访问的数据包
• 外部测试设备与宿主机之间的中间网络设备拦截了3333端口请求

1. 检查上层网络访问控制
   如果宿主机为云服务器，先登录云服务商控制台，检查对应实例的安全组、网络ACL规则，确认已开放3333端口的TCP入站规则，允许测试设备IP或所有地址访问。
2. 验证Docker端口映射配置
   执行命令docker ps查看对应容器的端口映射条目，确认映射规则为0.0.0.0:3333->3333/tcp，若为127.0.0.1:3333->3333/tcp说明仅绑定了宿主机回环，需重新启动容器，将端口映射参数修改为-p 0.0.0.0:3333:3333。
3. 确认容器内服务监听地址
   执行命令docker exec -it 容器名/容器ID netstat -plunt | grep 3333，查看容器内libp2p的监听地址，若为127.0.0.1:3333则需修改libp2p配置，将swarm监听地址改为/ip4/0.0.0.0/tcp/3333后重启服务。
4. 排查iptables规则冲突
   Docker默认会直接修改iptables规则，ufw配置可能不生效。执行命令iptables -L -n | grep 3333检查是否有允许3333端口入站的规则，若无则手动添加：

iptables -I INPUT -p tcp --dport 3333 -j ACCEPT

5. 宿主机本地网卡连通性测试
   在宿主机上执行nc -zvw10 宿主机对外网卡IP 3333（不要使用127.0.0.1测试），若该步骤返回连接被拒绝，说明故障出在宿主机本身的配置，与外部网络无关，可继续排查下述规则。
6. 检查反向路径过滤配置
   执行sysctl net.ipv4.conf.all.rp_filter，若返回值为1，可临时修改为0测试连通性：

sysctl -w net.ipv4.conf.all.rp_filter=0

若测试连通恢复，将net.ipv4.conf.all.rp_filter=0写入/etc/sysctl.conf文件，执行sysctl -p永久生效。

内容的提问来源于stack exchange，提问作者educob