不用非得折腾iptables！Docker本身的端口绑定机制就可以轻松搞定你的需求，而且更简洁易维护。下面分两种场景给你讲具体操作：

1. 针对docker run命令的情况 #

你之前用127.0.0.1:8080:8080是限制仅本地回环访问，要开放给本地子网（比如常见的192.168.1.0/24这类局域网网段），只需要把绑定的主机IP换成你机器上的内网网卡IP就行。比如你的主机内网IP是192.168.1.10，命令就改成：

docker run -p 192.168.1.10:8080:8080 your_image_name

这样只有同子网内的设备能访问这个8080端口，而容器其他如果绑定默认的0.0.0.0（也就是不指定主机IP的写法）的端口，依然可以正常对外网开放。

2. 针对Docker Compose的配置（你的场景） #

看你给出的docker-compose.yml，只需要修改8080端口的绑定规则就行，其他端口保持原样：

mycontainer:
  image: myimage:latest
  container_name: mycontainer
  environment:
    - PUID=1000
    - PGID=1000
    - TZ=Etc/UTC
    - WEBUI_PORT=8080
  volumes:
    - <>:/config
    - <>:/downloads
  ports:
    - 192.168.1.10:8080:8080  # 绑定到主机内网IP，仅本地子网可访问
    - 50016:50016              # 保持默认，对外网开放
    - 50016:50016/udp          # 保持默认，对外网开放
  restart: unless-stopped

记得把192.168.1.10换成你主机实际的内网IP，这样就能精准限制8080端口只对本地子网开放，同时不影响50016端口的外网访问权限。

进阶：用iptables实现更灵活的子网限制 #

如果你的主机有多个内网IP，或者想指定更宽泛的子网范围（比如10.0.0.0/8），可以借助iptables的DOCKER-USER链来添加规则——这个链是Docker专门留给用户自定义规则的，不会被Docker自身的配置覆盖，很安全：

1. 先允许本地子网访问8080端口：

iptables -A DOCKER-USER -p tcp --dport 8080 -s 192.168.1.0/24 -j ACCEPT

2. 然后拒绝其他所有来源访问这个端口：

iptables -A DOCKER-USER -p tcp --dport 8080 -j REJECT

这样即使8080端口绑定的是0.0.0.0，也只有指定子网的设备能访问，其他来源都会被拒绝，而50016这类端口依然不受影响。

备注：内容来源于stack exchange，提问作者Anton A