Docker容器应用无法连接EC2主机dd-trace agent，报错Connection refused求助

这个问题我碰到过好多次，核心原因其实很容易被忽略：容器内的localhost指向的是容器自身的网络命名空间，不是你的EC2主机。下面是一步步的排查和解决方法：

1. 修正DD_AGENT_HOST配置，使用EC2主机的私有IP #

首先，你需要把应用里的DD_AGENT_HOST环境变量从localhost改成EC2主机的私有IP地址：

• 在EC2主机上执行以下命令获取私有IP：

  curl http://169.254.169.254/latest/meta-data/local-ipv4
  

• 启动容器时传入这个环境变量，比如：

  docker run -e DD_AGENT_HOST=172.31.xx.xx [你的其他容器参数]
  

  或者在应用的配置文件里直接指定这个IP。

2. 确保dd-trace agent监听所有网络接口 #

默认情况下，有些dd-trace agent配置会只监听localhost，这样容器就无法从外部（即使是同一主机的容器网络）访问它。你需要修改agent的配置：

• 打开agent的配置文件（通常在/etc/datadog-agent/datadog.yaml），找到listen_address项，改成：

  listen_address: 0.0.0.0
  

• 重启agent服务：

  sudo systemctl restart datadog-agent
  

3. 检查EC2安全组和主机防火墙规则 #

即使地址配置对了，安全组或防火墙可能会挡住8126端口的流量：

• EC2安全组：添加入站规则，允许你的容器所在的网段（或者临时用0.0.0.0/0测试）访问TCP 8126端口。
• 主机防火墙：如果EC2主机启用了iptables、ufw之类的防火墙，需要放行8126端口：

  # 以iptables为例
  sudo iptables -A INPUT -p tcp --dport 8126 -j ACCEPT
  # 如果是ufw
  sudo ufw allow 8126/tcp
  

4. 验证容器到agent的连通性 #

最后一步，进入容器内部测试网络连通性，确认问题是否解决：

• 进入容器：

  docker exec -it [你的容器ID/名称] /bin/bash
  

• 用telnet或curl测试：

  # telnet测试端口是否开放
  telnet 172.31.xx.xx 8126
  # 或者用curl获取agent信息
  curl http://172.31.xx.xx:8126/info
  

如果telnet能连通或者curl返回agent的信息，那网络问题就解决了，再重启应用应该就能正常发送span了。

备选方案：使用Docker host网络模式 #

如果你的应用不需要容器网络隔离，可以直接用host模式启动容器，这样容器会共享EC2主机的网络命名空间，此时容器内的localhost就指向EC2主机了：

docker run --network host [你的其他容器参数]

不过这种模式要注意端口冲突问题，确保容器内的端口和主机上的服务端口不重叠。

内容的提问来源于stack exchange，提问作者Mohan Reddy Guntaka