如何配置Docker容器仅允许宿主机本地IP访问

• 之前尝试修改容器内Web服务监听地址为localhost的操作方向完全错误：容器拥有独立的网络命名空间，这里的localhost指向的是容器自身的本地回环接口，和Docker宿主机的回环网络没有任何连通性。
• *这种配置下，Web服务只会接收从容器内部发起的127.0.0.1流量，而Docker端口转发的流量是从容器和宿主机连通的网桥网卡进入的，服务根本接收不到对应请求，自然会出现连宿主机自身都访问失败的问题。
• 当前默认的端口绑定之所以能被局域网其他设备访问，是因为-p 宿主机端口:容器端口的简写格式，会默认把宿主机端口绑定到所有网卡的0.0.0.0地址上，对整个局域网完全暴露。

要实现仅宿主机本地可访问容器服务，不需要修改容器内的任何配置，只需要在宿主机侧创建容器时，显式指定端口绑定的地址即可：

• 先删除之前绑定到0.0.0.0的旧容器（端口绑定关系是容器创建时固定的，无法在线修改已有容器的绑定地址）
• 启动新容器时，把端口映射参数从默认的-p 宿主机端口:容器端口，修改为带宿主机回环地址前缀的格式：-p 127.0.0.1:宿主机端口:容器端口

举个实际命令示例：如果要把nginx容器的80端口，仅绑定到宿主机本地的8080端口，启动命令为：
docker run -d --name local-only-nginx -p 127.0.0.1:8080:80 nginx

• 如果使用docker-compose管理容器服务，需要同步修改compose文件里的ports配置，同样加上127.0.0.1的前缀，示例配置：

  services:
    web:
      image: nginx
      ports:
        - "127.0.0.1:8080:80"
  

• 配置完成后可以用netstat -tulpn | grep 8080在宿主机验证：正常绑定的结果应该是127.0.0.1:8080，而不是0.0.0.0:8080或者[::]:8080

• 从宿主机执行curl http://127.0.0.1:8080，可以正常拿到容器服务的返回内容
• 从局域网其他设备访问http://宿主机静态局域网IP:8080，会直接出现连接超时，完全无法访问，符合仅宿主机本地可见的要求

内容的提问来源于stack exchange，提问作者Serket