.NET Core Docker容器无法发送出站请求，请求协助排查
我来帮你一步步排查这个问题——从你描述的情况来看，同一个Swarm集群里MongoDB容器能正常访问外部网络，但.NET Core容器却不行，而且入站连接没问题，核心问题大概率出在容器的网络配置差异或者Swarm的网络规则上，咱们来逐个排查：
首先先搞清楚这两个容器是不是在同一个Swarm网络里，执行下面的命令分别查看：
docker inspect <dotnet-container-name> --format '{{.NetworkSettings.Networks}}' docker inspect <mongo-container-name> --format '{{.NetworkSettings.Networks}}'
如果.NET容器用的是默认的bridge网络，而Mongo容器用的是Swarm的overlay网络（或者反过来），就很可能出现网络访问差异。Swarm的overlay网络默认会配置正确的出口路由，而默认bridge网络在部分Ubuntu环境下可能被iptables规则限制了外部访问。
先进入.NET容器内部，查看DNS配置：
docker exec -it <dotnet-container-name> cat /etc/resolv.conf
把这个结果和Mongo容器的/etc/resolv.conf对比，如果.NET容器的DNS服务器不是宿主机DNS或者8.8.8.8这类公共DNS，而是错误的地址（比如127.0.0.11但宿主机的DNS转发有问题），就会导致无法解析域名。
另外，你可以先跳过DNS，直接ping宿主机的IP，排查是路由问题还是DNS问题：
docker exec -it <dotnet-container-name> ping <host-ubuntu-ip>
如果ping宿主机能通，但ping 8.8.8.8不行，那就是宿主机到外部网络的转发或者iptables规则有问题；如果连宿主机都ping不通，那就是容器和宿主机的网络连通性有问题。
因为你用的是Ubuntu+Docker Swarm，Swarm会自动配置iptables规则，但有时候会出现规则冲突或者配置遗漏。先查看宿主机的nat表POSTROUTING链：
sudo iptables -t nat -L POSTROUTING
看看有没有针对Docker网络（比如docker_gwbridge或者overlay网络子网）的MASQUERADE规则——如果.NET容器所在的网络没有被正确配置MASQUERADE，就无法通过NAT转发到外部网络。
同时检查宿主机的默认路由是否正常：
ip route show
确保有一条指向外部网关的默认路由（比如default via <gateway-ip> dev <interface>）。
你试过的microsoft/dotnet:2.0-runtime和microsoft/aspnetcore镜像，可能默认启用了某些安全限制，导致网络访问被禁止。可以先临时启动一个带特权的容器测试：
docker run -it --privileged microsoft/dotnet:2.0-runtime bash
然后在容器内部执行ping 8.8.8.8或者curl 8.8.8.8，如果这时候能正常访问，说明是镜像的安全限制（比如NO_NEW_PRIVILEGES、seccomp配置或capabilities限制）导致的。这种情况下，你可以在部署容器时添加--cap-add NET_ADMIN参数，或者调整seccomp配置来解决。
如果你的.NET应用是通过Swarm Service部署的，而不是单独的容器，要检查服务的网络配置：
docker service inspect <dotnet-service-name> --format '{{.Spec.Networks}}'
确保服务加入的是Swarm的overlay网络，并且该网络的--attachable属性正确设置（如果需要手动连接容器的话）。另外，Swarm服务默认用overlay网络，如果你手动指定了host或bridge模式，也可能导致网络访问异常。
有时候你的应用代码可能配置了代理、禁用了外部请求，或者有其他网络相关的逻辑，导致无法访问外部网络。可以先启动一个最简的.NET容器，不运行你的应用，直接测试网络：
docker run -it microsoft/dotnet:2.0-runtime bash
然后在里面执行curl 8.8.8.8或者ping 8.8.8.8，如果这时候能正常访问，那问题就出在你的应用代码里；如果还是不行，那就是容器或网络配置的问题。
内容的提问来源于stack exchange，提问作者Jamie
