Windows Server容器问题：容器主机端口无法访问

我来帮你一步步排查这个Docker NAT网络的访问问题，结合你用的Windows Server 2016（1709）和Docker EE 17.06.2-ee11版本，咱们从几个关键方向入手：

每次出现问题时，先从最基础的端口映射入手排查：

• 执行 docker ps 查看容器的端口映射状态，确认你应用的端口是不是正确映射到了主机IP上，有没有出现端口丢失或者映射目标错误的情况。NAT网络在容器重启时偶尔会出现端口绑定异常。
• 接着用PowerShell执行 netstat -ano | findstr <你的应用主机端口号>，检查主机上该端口是否真的被Docker相关进程占用（通常PID对应的是com.docker.service）。如果端口没被占用，那说明映射根本没生效，大概率是Docker网络驱动的问题。

Docker的NAT网络是容器和主机通信的核心，得确认它的配置没出问题：

• 执行 docker network inspect nat 查看NAT网络的详细信息，重点看Containers节点下对应容器的IP、端口映射是否正确，还有IPAM里的子网配置有没有和Windows主机的其他子网重叠——子网重叠很容易导致路由冲突，引发访问异常。
• 检查Hyper-V虚拟交换机状态：打开Hyper-V管理器，找到默认的DockerNAT虚拟交换机，查看它的网络连接是否正常，有没有IP配置错误。可以尝试用PowerShell重启它：Get-VMSwitch DockerNAT | Restart-VMSwitch，之后再测试访问。

有时候主机IP访问失败不是Docker的问题，而是被Windows的安全策略拦截了：

• 检查Windows Defender防火墙的入站规则，确认是否允许你应用的端口通过。Docker通常会自动创建相关规则，但在重启后偶尔会失效，你可以手动添加一条优先级较高的入站规则，允许该端口的TCP/UDP流量。
• 另外留意第三方安全软件（比如企业级杀毒、防火墙），这类软件有时候会误判容器的网络流量，把主机到容器的访问当成恶意请求拦截。可以临时关闭这类软件测试，看问题是否消失。

Docker服务或者日志里的错误能直接帮你定位问题：

• 出现问题时，用PowerShell执行 Get-Service docker 查看Docker服务状态，如果服务不是Running，尝试重启：Restart-Service docker，之后测试访问是否恢复。
• 查看Docker日志，Windows上日志默认存放在 C:\ProgramData\Docker\logs 目录下，打开docker.log搜索关键字比如port、nat、error，找有没有端口绑定失败、网络初始化异常这类错误信息，这些日志往往是排查的关键线索。

当问题出现时，通过连通性测试定位故障点：

• 从主机ping容器的IP，如果ping不通，说明NAT网络的路由有问题。执行 route print 查看Windows路由表，确认有没有到Docker NAT子网（通常是172.17.0.0/16这类）的路由条目，对应的网关是不是DockerNAT虚拟交换机的IP。如果路由缺失，手动添加试试：route add 172.17.0.0 mask 255.255.0.0 <DockerNAT的IP>。
• 用 tracert <容器IP> 从主机追踪到容器的网络路径，看在哪一步出现丢包，能快速定位是主机网络栈、虚拟交换机还是Docker网络的问题。

你用的Docker EE 17.06.2-ee11和Windows Server 2016 1709都是比较旧的版本，可能存在已知的NAT网络bug：

• 可以查看Docker官方的Release Notes，确认这个版本有没有相关的网络修复补丁，或者尝试升级到同系列的更高版本（比如17.06.3-ee12），升级前记得备份好容器和镜像，避免数据丢失。

内容的提问来源于stack exchange，提问作者Dresse