Docker Windows容器内Python无法联网但可ping通外网的原因及解决方法

核心现象 #

• 基于python:3.10.0a3-windowsservercore-1809镜像启动的Hyper-V隔离容器，执行ping bing.com可正常连通无丢包
• 容器内执行pip安装、Python urllib/sockets访问互联网时，所有TCP HTTPS连接直接超时，调高超时阈值也无法恢复
• 从容器inspect结果看，容器接入Docker默认NAT网络，所有IPv6相关网络字段为空，无可用IPv6出口路由

故障根本原因 #

1. 无ICMP不可达反馈导致IPv6连接卡死
   容器所在的Hyper-V隔离NAT网络不会为无路由的出站IPv6包返回ICMP“目的不可达”响应。Windows系统自带的ping命令自带短探测超时，等不到IPv6回包时会快速切换到IPv4地址发起ICMP请求，因此表现为ping正常；但容器内的Python 3.10 alpha版本、pip内置的旧版urllib3库采用Happy Eyeballs连接策略，会优先尝试目标域名的IPv6（AAAA）记录发起TCP连接，由于收不到任何错误反馈，连接会一直卡到全局超时阈值用完，完全不会触发IPv4地址的回退逻辑。
2. 旧版本Docker的NAT栈适配缺陷
   当前使用的Docker 20.10.0版本在Windows 1809宿主上的Hyper-V隔离场景下，NAT网络的连接跟踪规则存在适配问题：默认放行所有ICMP出站流量，但对容器内发起的TCP 443出站连接，未正确配置NAT转换规则，导致TCP握手包被网关静默丢弃；同时Hyper-V虚拟隧道的实际MTU低于1500，未开启PMTU发现时，超过隧道MTU的TCP包会被直接丢弃，进一步放大连接故障。
3. 手动指定第三方DNS的解析偏差
   启动容器时指定的41.212.0.100为区域性公共DNS，该DNS对主流互联网站点返回的AAAA记录优先级高于IPv4（A）记录，会放大Python的IPv6连接故障。

分步解决操作 #

• 消除IPv6连接卡死问题
  进入容器后，可通过两种方式快速跳过IPv6连接尝试：
  • 编辑容器内C:\Windows\System32\drivers\etc\hosts文件，将需要访问的目标域名（如pypi.org、files.pythonhosted.org）直接绑定到对应的IPv4地址，跳过AAAA记录解析
  • 强制pip优先使用IPv4地址，执行安装命令时增加参数：pip install --retries 3 --timeout 30，配合hosts绑定可快速恢复pip连通性
• 修正Docker NAT网络配置
  在Windows宿主上操作：
  • 执行docker network rm nat删除默认NAT网络，重启Docker服务让系统自动重建适配当前版本的NAT网络，自动修正MTU与连接跟踪规则
  • 检查Windows防火墙的DockerNAT规则，确保所有容器发起的出站TCP流量未被拦截
• 替换容器DNS配置
  重新启动容器时，将原有启动命令中的--dns 41.212.0.100替换为通用IPv4公共DNS，避免第三方DNS返回高优先级AAAA记录带来的连接问题，启动命令示例：docker run -it --rm --dns 223.5.5.5 python:3.10.0a3-windowsservercore-1809 cmd
• 连通性验证
  配置完成后，在容器内执行测试命令：python -c "import urllib.request; print(urllib.request.urlopen('https://pypi.org', timeout=10).status)"，若返回状态码200，即代表Python网络连通性恢复正常。

内容的提问来源于stack exchange，提问作者machazthegamer