无法通过主机已发布端口访问Docker Swarm集群内指定服务

咱们一步步来定位问题，你遇到的情况是Swarm约束服务到特定节点，用host模式发布端口但主机无法访问，下面是几个关键排查点：

1. 确认服务是否正确调度到目标节点 #

首先得确保你的mongo-router服务真的跑在了带有mongo.router=true标签的节点上：

• 先获取目标节点ID，然后查看该节点上的任务：

  docker node ps $(docker node ls -q -f label=mongo.router=true)
  

  检查输出里mongo-router的状态是不是Running，如果是Pending或者Failed，那服务根本没启动起来。
• 再核对节点标签是否正确（Swarm标签区分大小写）：

  docker node inspect $(docker node ls -q -f label=mongo.router=true) --format '{{.Spec.Labels}}'
  

  确保输出里明确有mongo.router=true，标签写错大小写或者值不对都会导致调度失败。

2. 检查容器内部服务是否正常启动 #

就算容器显示Running，也可能内部的mongos没正常监听端口：

• 找到目标节点上的容器ID：

  docker ps -f name=mongo-router
  

• 检查容器内27017端口是否监听：

  docker exec <container-id> netstat -tulpn | grep 27017
  

  如果没有输出，说明mongos没启动成功，赶紧看容器日志找原因：

  docker logs <container-id>
  

  重点看有没有连接configdb失败的报错——你的mongos命令里指定了cnf/mongodb-cnf_mongo-cnf-1:27017这类地址，要确保这些configdb服务在同一个mongo-cluster overlay网络里，并且能被正常解析访问。

3. 验证Host模式端口发布的Swarm限制 #

Swarm的host模式端口有个关键限制：同一个节点上只能运行该服务的1个副本，因为host端口不能冲突：

• 检查你的docker-compose.yml里deploy部分有没有指定replicas: 1，如果没指定，默认是1，但最好明确写上避免意外。
• 另外，默认情况下host模式端口会绑定到节点的所有网络接口（0.0.0.0），如果你的节点有多网卡，或者iptables限制了特定网卡的流量，可以试试在ports里明确绑定IP：

  ports:
    - target: 27017
      published: 0.0.0.0:3017
      protocol: tcp
      mode: host
  

4. 排查防火墙（iptables）规则干扰 #

虽然你开放了Swarm所需端口，但host模式的端口是容器直接绑定到节点的，可能被iptables规则拦截：

• 先临时关闭iptables测试（测试完记得开启）：

  systemctl stop iptables
  

  如果关闭后能访问，说明是iptables的问题，需要添加3017端口的允许规则：

  iptables -A INPUT -p tcp --dport 3017 -j ACCEPT
  service iptables save
  

• 还要注意，如果你的系统用的是firewalld而不是原生iptables，得确认firewalld状态，要么关闭它，要么在firewalld里开放端口：

  firewall-cmd --add-port=3017/tcp --permanent
  firewall-cmd --reload
  

5. 检查节点端口占用情况 #

确认3017端口没被其他进程占用：

ss -tulpn | grep 3017

如果有输出，说明端口被别的进程占了，Swarm的容器启动会失败，日志里会有类似port is already allocated的报错，需要杀掉占用端口的进程，或者换个published端口。

6. 验证overlay网络配置 #

虽然host模式和overlay网络不冲突，但要确保容器正确加入了mongo-cluster网络：

docker inspect <container-id> --format '{{.NetworkSettings.Networks}}'

检查输出里是否包含mongo-cluster，以及对应的IP地址是否正常——如果容器没加入这个网络，mongos根本连不上configdb，自然不会监听端口。

内容的提问来源于stack exchange，提问作者Cédric Rémond