如何通过DS-Lite将本地网络中Docker容器化Web服务暴露至公网以接收DynDNS请求

我懂你这种摸不着头脑的感觉！其实这个需求确实很常见，咱们一步步来拆解解决——毕竟你已经搞定了WiFi中继器的访问，说明基础的IPv6和DuckDNS配置是通的，问题大概率出在Docker的IPv6支持或者容器的路由设置上。

核心前提先明确 #

因为你用的是DS-Lite，没有公网IPv4，所以所有公网访问必须走IPv6，别在IPv4端口转发上浪费时间，这是关键！

第一步：给Docker开启IPv6支持 #

默认Docker是没开启IPv6的，这是很多人踩坑的点。得先让Docker能给容器分配可被本地IPv6子网路由的地址：

• 编辑（或新建）Docker的配置文件/etc/docker/daemon.json，填入以下内容（注意替换成你路由器的公网IPv6/64子网的子段，比如你的前缀是2a02:810d:xxxx:yyyy::/64，可以选2a02:810d:xxxx:yyyy::/80作为容器子网）：

  {
    "ipv6": true,
    "fixed-cidr-v6": "2a02:810d:xxxx:yyyy::/80",
    "ip6tables": true
  }
  

• 重启Docker服务让配置生效：

  sudo systemctl restart docker
  

• 要么创建一个支持IPv6的Docker网络，把容器连进去；要么重新启动你的httpd容器，让它自动获取IPv6地址：

  # 创建IPv6网络
  docker network create --ipv6 --subnet=2a02:810d:xxxx:yyyy::/80 my-ipv6-net
  # 启动httpd容器并加入这个网络
  docker run -d --name my-httpd --network my-ipv6-net -p 80:80 httpd
  

第二步：检查路由器的IPv6转发规则 #

你说路由器已经开了80和443端口，要确认是IPv6的端口转发规则（不是IPv4的）：

• 登录路由器后台，找到IPv6防火墙/端口映射选项，把公网IPv6的80、443端口，转发到容器的IPv6地址对应端口；如果你用了Docker端口映射到主机，也可以转发到主机的IPv6地址对应端口。
• 同时确保路由器没有阻止来自公网的IPv6流量到你的容器或主机。

第三步：逐步验证可达性 #

咱们从本地到公网一步步测，定位问题：

1. 本地容器测试：用curl http://[容器的IPv6地址]:80（注意IPv6地址要加方括号），看能不能正常拿到httpd的默认页面，确认容器本身没问题。
2. 本地公网IPv6测试：用curl http://[你的公网IPv6地址]:80，如果能访问，说明路由器的转发规则生效了。
3. DynDNS域名测试：直接用curl http://你的DuckDNS子域名，看域名是否能解析到你的公网IPv6，并且正常访问容器服务。

第四步：提前准备Traefik的IPv6配置 #

等你换成Traefik管理多服务时，同样要确保它支持IPv6：

• 在Traefik的配置文件traefik.yml里，要保证入口点监听IPv6（默认会同时监听IPv4和IPv6，不过最好确认配置）：

  entryPoints:
    web:
      address: ":80"
      http:
        redirections:
          entryPoint:
            to: websecure
            scheme: https
    websecure:
      address: ":443"
      http:
        tls: {}
  providers:
    docker:
      endpoint: "unix:///var/run/docker.sock"
      exposedByDefault: false
  

• 把Traefik容器加入之前创建的IPv6网络，确保它能获取到IPv6地址，然后路由器的端口转发指向Traefik的IPv6地址即可。

几个容易踩的坑 #

• 别搞混IPv4/IPv6规则：DS-Lite下公网IPv4是无法直接访问你的本地网络的，所有转发规则必须针对IPv6。
• Docker配置要生效：重启Docker后，用docker network inspect my-ipv6-net检查是否有IPv6子网，用docker inspect my-httpd确认容器拿到了IPv6地址。
• 域名解析延迟：DuckDNS的解析更新可能有几分钟延迟，测试前可以用nslookup 你的子域名确认解析到了正确的公网IPv6。
• 本地防火墙：主机的防火墙（比如ufw、firewalld）要允许IPv6的80、443端口流量，不然会挡住请求。

备注：内容来源于stack exchange，提问作者Steven Sintermann