如何实现不同Docker网络间的数据包路由且无需修改原有应用docker-compose配置

你完全不需要修改现有Web应用的docker-compose配置，以下3种稳定可靠的方案均可实现需求：

方案1：将mysqld_exporter动态加入目标应用网络（最推荐） #

Docker支持容器运行后动态加入多个网络，无需修改原有应用的任何配置：

• 先在独立的监控docker-compose中定义所有mysqld_exporter实例，启动时默认加入监控专用的Docker网络，保证和Prometheus容器通信正常
• 对每个需要监控的数据库，执行命令将对应exporter容器加入目标数据库所属的应用网络：

  docker network connect <目标应用的Docker网络名> <对应mysqld_exporter容器名>
  

• 此时mysqld_exporter同时属于监控网络和目标应用网络，可直接通过数据库容器名或IP访问3306端口，不受跨网络隔离限制
• 可编写简单脚本自动化完成上述绑定操作，新增/移除监控目标时无需重启原有业务容器

方案2：exporter使用host网络模式（配置最简单） #

利用你已将数据库端口绑定到宿主机127.0.0.1的特性，直接通过宿主机本地回路访问：

• 在监控docker-compose中，为每个mysqld_exporter配置network_mode: "host"，使exporter直接共享宿主机的网络栈
• 给每个exporter指定不同的服务端口避免冲突，启动参数添加--web.listen-address=0.0.0.0:<自定义端口>
• exporter的数据库连接地址填127.0.0.1:<对应数据库绑定的宿主机本地端口>即可正常访问
• 该方案完全不需要处理Docker网络路由规则，配置量极小

方案3：配置iptables放行指定跨网络流量 #

如果希望统一通过IP路由访问，可在防火墙层面添加专属放行规则，不影响其他隔离策略：

• 先确认你的监控专用Docker网络的网段，假设为172.16.99.0/24
• 在ufw规则前添加Docker专属放行规则，仅允许监控网段访问所有应用网络的3306端口：

  iptables -I DOCKER-USER -s 172.16.99.0/24 -d 172.16.0.0/16 -p tcp --dport 3306 -j ACCEPT
  

• 将上述规则设置为开机自动生效，即可实现跨网络的指定端口访问，不需要调整任何容器配置

三种方案均不会修改原有业务的部署配置，其中方案1的网络隔离性最好，不会额外占用宿主机端口，也不会改变防火墙规则，是生产环境的首选方案。

内容的提问来源于stack exchange，提问作者Nikki Locke