为何本地Docker容器可访问一台外部主机，另一台却无法访问？

根据你描述的场景——宿主机能正常访问machine1.sydney.network和machine2.sydney.network，但容器内仅能连通machine1，两台主机处于同一子网且防火墙配置无异常，我整理了几个高概率的排查方向和解决办法：

1. 排查容器DNS解析问题 #

容器默认会复用宿主机或Docker daemon配置的DNS，但可能出现针对特定主机的解析异常：

• 先在容器内执行nslookup machine2.sydney.network，确认是否能解析到正确IP。如果解析失败，说明是DNS配置问题：
  • 临时解决方案：启动容器时手动指定DNS服务器，比如复用宿主机DNS或公共DNS：

    docker run -it --dns 192.168.1.1 my_container /bin/bash
    

  • 永久解决方案：修改Docker daemon配置文件（如/etc/docker/daemon.json），添加DNS配置后重启Docker服务：

    {
      "dns": ["192.168.1.1", "8.8.8.8"]
    }
    

2. 检查容器路由表配置 #

即使两台主机在同一子网，容器的路由规则可能缺失对应条目：

• 在容器内执行ip route（或route -n），对比宿主机的路由表（宿主机执行ip route），查看是否缺少到machine2所在子网的路由。
• 如果确实缺失，可手动添加临时路由（容器重启后失效）：

  ip route add 192.168.5.0/24 via 172.17.0.1 dev eth0
  

  若需要永久生效，可在启动容器时通过--add-host绑定主机名与IP，或者自定义Docker网络的路由规则。

3. 验证宿主机hosts映射的继承情况 #

如果宿主机的/etc/hosts中配置了machine2.sydney.network的IP映射，容器默认不会自动继承该配置：

• 查看宿主机/etc/hosts确认是否有相关条目，若存在，启动容器时通过--add-host参数带入映射：

  docker run -it --add-host machine2.sydney.network:192.168.5.10 my_container /bin/bash
  

4. 切换Docker网络模式测试 #

默认的bridge模式可能存在网络隔离限制，可尝试使用host模式直接复用宿主机网络栈：

docker run -it --network host my_container /bin/bash

如果切换后能正常访问machine2，说明是bridge网络的iptables规则或子网配置问题，可进一步排查Docker bridge的网络转发规则。

5. 排查ARP解析或主机端网络细节 #

虽然防火墙无问题，但可能存在ARP缓存异常：

• 在容器内执行arp -a，查看是否存在machine2的ARP条目。若没有，直接ping machine2的IP而非主机名，尝试触发ARP解析。
• 如果ping IP也无法连通，建议确认machine2是否存在针对容器子网的IP白名单限制（即使防火墙已开放，部分主机可能有额外的网络准入规则）。

内容的提问来源于stack exchange，提问作者Stan Bridge