Docker端口映射失效宿主机40001端口无法监听故障求助

• 核心原因1：Docker端口仅绑定IPv6栈，内核未开启IPv4到IPv6的套接字转发
  从宿主机netstat结果可见，docker-proxy仅在IPv6栈上监听了:::40001，UCS 4作为Debian衍生系统，默认开启内核参数net.ipv6.bindv6only=1，会限制IPv6监听的端口无法接收IPv4请求，直接导致IPv4地址访问40001端口被重置。
• 原因2：UCS默认防火墙拦截Docker端口流量
  UCS自带的Univention防火墙规则优先级高于Docker动态生成的iptables NAT规则，默认不会放行Docker映射的非标准端口，导致外部流量无法到达docker-proxy。
• 原因3：Docker iptables功能被禁用
  若Docker配置中关闭了iptables规则生成功能，端口映射所需的NAT转发规则不会自动写入iptables，流量无法转发到容器内部。

• 执行sysctl net.ipv6.bindv6only，若返回值为1则可确认存在IPv6仅绑定问题。
• 执行ucr get security/packetfilter/disabled，若返回0说明UCS防火墙处于开启状态，再执行iptables -t nat -L DOCKER检查是否存在40001端口转发到容器80端口的规则，无规则说明NAT配置未生效。
• 执行cat /etc/docker/daemon.json | grep iptables，若存在"iptables": false配置说明Docker的iptables规则生成被禁用。

• 方法1：关闭IPv6仅绑定内核参数
  1. 编辑sysctl配置文件：vim /etc/sysctl.conf
  2. 新增或修改配置项：net.ipv6.bindv6only = 0
  3. 执行sysctl -p使配置生效
  4. 重启Docker服务：systemctl restart docker，重启容器后即可测试端口访问。
• 方法2：强制Docker绑定IPv4端口
  启动容器时显式指定IPv4地址绑定，命令行启动参数改为-p 0.0.0.0:40001:80；若使用docker-compose，将端口配置改为"0.0.0.0:40001:80"，强制Docker在IPv4栈上监听端口。
• 方法3：UCS防火墙放行对应端口
  执行以下命令放行40001端口：

  ucr set security/packetfilter/tcp/40001/all=ACCEPT
  ucr commit
  systemctl restart univention-firewall
  

• 方法4：开启Docker的iptables功能
  编辑/etc/docker/daemon.json，删除"iptables": false配置项，重启Docker服务即可自动生成端口映射所需的NAT规则。

内容的提问来源于stack exchange，提问作者Alex