Docker绑定MySQL端口到localhost后，iptables规则为何未体现访问限制？

这其实是Docker端口映射的两层限制逻辑造成的，我给你拆解清楚：

1. 端口绑定的本质：宿主机本地监听范围 #

当你执行这条启动命令时：

docker run -it mysql:5.5 -p 127.0.0.1:3306:3306 --name db.mysql

这里的127.0.0.1:3306:3306是告诉Docker：只在宿主机的回环（loopback）接口上监听3306端口，而非宿主机的所有网络接口（比如局域网、公网接口）。

你可以用ss命令验证这个监听范围：

ss -tulpn | grep 3306

输出会类似这样：

tcp    LISTEN  0       128        127.0.0.1:3306      0.0.0.0:*    users:(("docker-proxy",pid=xxx,fd=xxx))

能看到监听地址是127.0.0.1，而非0.0.0.0（代表所有接口）。这意味着只有宿主机本地的进程才能连接这个端口，外部机器根本无法访问到宿主机的这个端口，自然也碰不到后面的MySQL容器。

2. iptables规则的作用：容器网络内部的访问控制 #

你看到的iptables DOCKER链规则：

ACCEPT tcp -- anywhere 192.168.112.2 tcp dpt:mysql

这里的anywhere其实指的是Docker容器网络内的任意地址，不是宿主机外部的所有地址。这条规则的作用是允许Docker网桥（默认是docker0）上的其他容器访问这个MySQL容器的3306端口，和你在宿主机层面限制端口监听范围的操作是互补关系：

• 宿主机的端口监听范围，限制了外部机器能不能连到宿主机的3306端口
• iptables规则，限制了容器网络内的流量能不能到达MySQL容器

3. 验证你的限制是否生效 #

你可以做两个简单测试确认效果：

• 在宿主机本地执行：mysql -h 127.0.0.1 -P 3306，应该能正常连接到MySQL
• 在宿主机之外的机器（比如同局域网的另一台电脑）执行：telnet <宿主机局域网IP> 3306，会提示连接失败，这就说明你的127.0.0.1限制已经生效了

总结一下：你设置的127.0.0.1端口绑定是在宿主机的TCP监听层面做的限制，不需要通过iptables修改源地址来实现，所以iptables里的规则看起来是anywhere，但实际外部流量根本到不了这一步。

内容的提问来源于stack exchange，提问作者KInGcC