Docker多网络部署：RedHat 7下无需修改iptables实现容器端口对外访问

我来帮你梳理下在RHEL7上不用手动修改iptables就能让容器对外访问的几个可行方案，毕竟直接改iptables不仅容易出错，还不符合RHEL的运维规范：

方案1：使用Docker Host网络模式（快速但牺牲部分隔离性） #

如果你的容器不需要严格的网络隔离，直接用host网络模式是最简单的方式。这种模式下容器会直接复用宿主机的网络命名空间，不需要做端口映射，外部设备可以直接通过宿主机IP+容器内服务的端口访问。

启动容器的命令示例：

docker run -d --network host --name external-access-service your-app-image:latest

比如你的容器里跑的是8080端口的服务，外部直接访问宿主机IP:8080就能连上。缺点是容器和宿主机共享所有网络资源，端口不能冲突，隔离性较弱。

方案2：通过Firewalld开放映射端口（推荐，符合RHEL规范） #

RHEL7默认用Firewalld来管理防火墙规则，而不是直接操作iptables。Docker虽然会自动添加端口映射的iptables规则，但Firewalld的规则优先级更高，会拦截外部流量。你可以用Firewalld的命令来开放对应的映射端口，完全不用手动碰iptables：

1. 先正常启动带端口映射的容器（比如把容器80端口映射到宿主机8080）：

docker run -d -p 8080:80 --network basic --name web-service your-web-image:tag

2. 用Firewalld命令永久开放这个端口：

firewall-cmd --add-port=8080/tcp --permanent
firewall-cmd --reload

执行完之后，外部就能通过宿主机IP:8080访问容器里的服务了。这个方法是RHEL官方推荐的防火墙管理方式，不会破坏系统的规则体系。

方案3：利用Docker Swarm的Ingress网络（适合多容器集群场景） #

如果你的部署是多容器的集群环境，Docker Swarm的Ingress网络会自动帮你处理外部访问的流量转发和防火墙规则配置，不需要手动干预：

1. 先初始化Swarm集群（单节点也可以用）：

docker swarm init

2. 部署服务时指定端口发布，Swarm会自动配置好外部访问的规则：

docker service create --name cluster-service --publish 8080:80 --network basic your-app-image:tag

Swarm会自动和Firewalld交互，开放对应的端口，外部直接访问宿主机IP就能连接到服务。

补充说明 #

你在Windows Docker Toolbox上没问题，是因为Toolbox是把Docker跑在VirtualBox虚拟机里，虚拟机本身已经做了端口转发配置，而RHEL7是物理/云主机，默认的Firewalld会拦截未授权的外部流量，所以需要通过上述方式来开放访问，而不是直接修改iptables。

内容的提问来源于stack exchange，提问作者Christof Tinnes