Docker：如何让容器仅对Windows Server 2016主机可见

我来帮你搞定这个问题——在Windows Server 2016的Docker环境里，要让容器服务只对主机可见，确实不能直接套用Linux的操作方式，因为Windows的Docker是基于Hyper-V虚拟机运行的，网络栈有特殊性。下面给你两个靠谱的解决方案：

方案1：创建仅内部访问的NAT网络（最推荐） #

这个方法从网络层面彻底隔离容器与外部，确保只有主机和同网络的其他容器能访问它：

1. 先创建一个带--internal参数的NAT网络，该参数会禁用网络的外部连接能力：

docker network create -d nat --internal restricted_internal_net

2. 启动Mongo容器时指定这个网络，不需要额外做端口映射（主机可以直接访问容器的内部IP）：

docker run -d --name internal-mongo --network restricted_internal_net mongo

3. 获取容器的内部IP地址：

docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' internal-mongo

拿到类似192.168.0.1的IP后，主机直接用192.168.0.1:27017就能访问Mongo，外部网络完全无法触达这个服务——因为这个内部网络根本不对外暴露任何端口。

方案2：限制端口映射到主机的特定IP（适合需要容器联网的场景） #

如果你的容器需要访问互联网，但只想让主机能访问它的服务，可以把端口映射绑定到主机的内部局域网IP或环回IP：

绑定主机局域网IP #

比如你的主机在本地网络的IP是192.168.1.50，启动容器时这样写：

docker run -d -p 192.168.1.50:27017:27017 mongo

这样只有主机自己或者同一局域网内的设备能通过192.168.1.50:27017访问，外部公网的X.Y.Z.A:27017完全连不上。

绑定主机环回IP（127.0.0.1） #

直接用docker run -p 127.0.0.1:27017:27017无效的原因是：Windows的Docker容器运行在Hyper-V虚拟机里，主机的环回接口和虚拟机的网络栈是相互独立的。你可以手动用netsh添加端口转发规则来解决：

1. 先通过docker inspect命令获取容器的内部IP
2. 添加端口转发规则：

netsh interface portproxy add v4tov4 listenaddress=127.0.0.1 listenport=27017 connectaddress=<容器内部IP> connectport=27017

设置完成后，主机就能通过127.0.0.1:27017访问容器，外部依然无法访问。

补充：为什么默认NAT网络会让容器在所有接口可见？ #

Docker默认的NAT网络会把容器的端口映射到主机的0.0.0.0（所有网络接口），所以不管是主机的公网IP、局域网IP还是环回IP，都能访问容器服务——这就是你遇到问题的根源，用上面的两种方法就能完美解决。

内容的提问来源于stack exchange，提问作者sGlorz