ref="/tag/2019/" style="color:#8B0506;font-weight:bold;">Docker容器如何通过NAT与外部通信
在家用路由器搭建私有网络时，很多用户开始尝试用Docker部署服务，比如自建博客、下载机或智能家居中控。但很快会遇到一个问题：容器内的应用明明运行正常，外面却访问不了。这往往和NAT（网络地址转换）机制有关。
默认桥接模式下的网络行为
Docker安装后会创建一个虚拟网桥docker0，默认使用172.17.0.0/16网段。每次启动容器，就会分配一个内网IP。这个IP在宿主机内部能通，但在局域网其他设备上根本看不到。
比如你在树莓派上跑了个Docker里的Web服务，端口映射没配对，手机连同一个Wi-Fi也打不开页面。这是因为容器处于NAT之后，就像你家多个设备共用一个宽带公网IP那样。
端口映射是打通外界的关键
让外部访问容器服务，最常用的方法是端口映射。启动容器时加上-p参数，把宿主机的某个端口转发到容器内部。
docker run -d -p 8080:80 nginx这样访问宿主机IP的8080端口，流量就会被iptables规则自动转给容器的80端口。背后的机制正是Linux内核的NAT功能，在DOCKER-USER链中添加了DNAT规则。
查看NAT规则的小技巧
当你怀疑网络不通时，可以直接看iptables的配置：
sudo iptables -t nat -L -n | grep 8080通常能看到一条目的端口为8080的转发规则，目标地址指向某个172.17.x.x的容器IP。如果没有，可能是Docker服务异常或系统禁用了相关模块。
无线网络中的实际场景
假设你在客厅NAS上部署了Docker版Aria2下载工具，想用手机App远程控制。只要正确映射了RPC端口（通常是6800），手机在同一局域网就能连上。
但如果你希望通过外网域名访问，还需要在路由器做一次端口映射（即“端口转发”），把公网请求转到NAS所在宿主机。这种双重NAT结构很常见，只要每一层都配置清楚，就不会丢包。
避免冲突的小建议
多个容器别同时映射宿主机的同一端口。比如两个nginx都绑80端口，第二个会启动失败。可以改用不同端口，像8080、8081，或者用反向代理统一出口。
另外，如果宿主机本身在公司或校园网 behind NAT，可能拿不到公网IP，这时需要配合内网穿透工具，比如frp或ngrok，把本地服务暴露出去。
关闭Docker自定义防火墙？没必要
有人为了省事直接关掉Docker管理iptables，结果导致DNS解析失败或跨容器通信异常。Docker依赖这些规则维持网络模型，擅自清空会造成更多问题。
更稳妥的方式是保留默认机制，在应用层调整配置。例如用自定义bridge网络隔离服务，或通过docker-compose统一管理端口和服务依赖。