docker Troubleshooting
Docker 端口映射后外部访问不了怎么排查
Docker 用 -p 映射端口后从宿主机或外部访问不通时，先确认 docker ps 是否显示 0.0.0.0:host->container 映射，再进容器 ss -lntp 检查应用是否监听 0.0.0.0 而非 127.0.0.1，最后排查 firewalld/ufw/云安全组。
先确认容器内服务监听 0.0.0.0，再看 docker ps 端口映射和宿主机防火墙。很多问题是服务只监听容器内 127.0.0.1。
Scenario
这篇文章解决什么问题
适用于容器已经启动、docker ps 也显示端口映射，但宿主机或外部机器访问不到服务的场景。排查核心是监听地址、端口映射和访问路径三者是否一致。
Symptoms
典型现象
- 容器内 curl 通，宿主机或外网不通。
- docker ps 端口看起来存在，但浏览器连接超时或拒绝。
- 服务日志没有收到外部请求。
Before Debugging
排查前先确认
- 先确认问题发生在镜像拉取、容器启动、容器内服务监听，还是宿主机/外部访问。
- 记录 docker ps、docker logs 和 docker inspect 的同一时间窗口，避免状态已变化后误判。
- 区分 Docker 网络、宿主机防火墙、云安全组和应用自身监听地址。
Root Causes
常见根因分层
容器状态和应用状态不是一回事
容器 Running 只代表主进程存在，不代表应用已经 ready；容器 Restarting 通常是应用启动失败或健康检查不断失败。
- 看退出码和最近 200 行日志
- 检查 healthcheck 是否过于激进
- 确认依赖服务是否 ready
端口、网络和监听地址不匹配
服务只监听 127.0.0.1、端口映射写错、bridge 网络不可达、宿主机防火墙拦截，都会造成“容器里通、外部不通”。
- 容器内 ss -lntp
- 宿主机 curl 127.0.0.1:端口
- 外部机器再测宿主机 IP
Registry、代理和平台架构问题
镜像拉取失败不仅是网络慢，也可能是认证、标签不存在、私有 CA、代理环境变量或 amd64/arm64 架构不匹配。
- 保留完整 pull 错误
- 检查 docker info 中代理配置
- 用 manifest inspect 看架构
Diagnosis Path
分步诊断流程
1. 固定现场，避免追着变化状态跑
先记录故障时间、影响入口、完整错误和最近一次变更。Docker 端口映射后外部访问不了怎么排查 这类问题经常在重启、重试或缓存刷新后短暂消失，没有现场信息会很难复盘。
- 截图或保存完整错误文本
- 记录请求域名/IP/端口/namespace/服务名
- 标出最近发布、配置、证书、镜像或依赖变更
docker ps --format "table {{.Names}}\t{{.Ports}}"
docker exec -it <container> ss -lntp2. 在故障发生的同一位置复现
很多误判来自测试位置不同：本机通不代表服务器通，容器内通不代表宿主机通，集群外通也不代表 Pod 内通。复现命令要尽量贴近真实流量路径。
- 从报错服务所在机器执行测试
- 必要时加 Host、SNI、namespace 或代理参数
- 把成功路径和失败路径的输出并排比较
docker exec -it <container> ss -lntp
curl -v http://127.0.0.1:8080/
sudo iptables -t nat -L -n | grep 80803. 读取服务端证据，而不是只看客户端提示
客户端报错通常是结果摘要。真正能区分根因的是服务端日志、内核日志、事件、进程状态或数据库状态。
- 查看 docker ps 是否真的有 0.0.0.0:宿主端口->容器端口。
- 进入容器确认应用监听地址。
- 在宿主机本机 curl 映射端口。
curl -v http://127.0.0.1:8080/
sudo iptables -t nat -L -n | grep 80804. 做最小修复并立即回归验证
每次只改一个变量，修复后用同一条复现命令回测，并观察日志是否停止增长。这样可以避免多个临时改动互相掩盖。
- 在宿主机本机 curl 映射端口。
- 检查 firewalld/ufw/云安全组。
- 确认使用的是正确的宿主机 IP。
curl -v http://127.0.0.1:8080/
sudo iptables -t nat -L -n | grep 8080Commands
排查命令与使用意图
命令 1
用于确认容器运行状态、端口映射和网络配置。inspect 能看到 HostConfig.PortBindings 和 NetworkSettings 等关键字段。
docker ps --format "table {{.Names}}\t{{.Ports}}"命令 2
用于确认端口监听状态和连接关系。重点看 LISTEN 行的地址是 127.0.0.1 还是 0.0.0.0，以及 ESTAB 连接数。
docker exec -it <container> ss -lntp命令 3
用于从指定位置模拟真实请求。加 -v 可以看到 DNS、TCP、TLS、HTTP 头和代理连接过程，是定位链路阶段的关键证据。
curl -v http://127.0.0.1:8080/命令 4
用于补充“Docker 端口映射后外部访问不了怎么排查”的排查证据链。sudo 的输出需要结合上下文其他命令交叉验证，不要单独依赖某一条结果下结论。
sudo iptables -t nat -L -n | grep 8080Risk Notes
容易踩坑的地方
- 不要一上来 docker system prune，先确认是否有需要保留的停止容器、卷或构建缓存。
- 不要把 restart: always 当成稳定性方案，它可能掩盖启动失败的根本原因。
- 不要在容器内使用 systemd 作为入口进程，除非使用特权模式或专门的基础镜像。
Verification
修复后怎么确认
- 原始故障现象已经消失，且使用同一入口重新测试 Docker 端口映射后外部访问不了怎么 能稳定成功。
- 服务端日志不再出现同类错误，监控中的错误率、重启次数、连接数或延迟回到正常区间。
- 如果做过临时绕过，已经记录恢复计划，例如还原宽松策略、补监控、补限制或提交正式配置。
Prevention
后续预防
- Compose 文件里显式写健康检查、资源限制和必要环境变量，确保容器启动后能自动恢复。
- 上线前用 docker compose config 展开最终配置做审查，避免遗漏或覆盖了错误的配置值。
- 为镜像使用固定 tag 或 digest，避免 latest 漂移导致部署了非预期的版本。
- 建立容器日志轮转策略，防止日志无限增长撑满磁盘分区。
常见问题
容器里能访问，宿主机不能访问怎么办？
重点检查 -p 参数、Docker 网络模式和宿主机防火墙。
Long-tail SEO
你可能正在搜索这些报错
下面这些错误原文、场景词和中英文搜索词，都是排查同类问题时常见的入口。
- docker 端口映射 外部访问不了
- docker -p 端口不通
- docker 容器内能访问宿主机不能访问
- docker 0.0.0.0 端口映射
- docker port mapping not working
- docker compose ports 不生效
- 容器服务只监听 127.0.0.1
- docker 防火墙 安全组 端口不通
Need More Help
这个问题还没完全解决？
把你的报错、环境和已经尝试过的步骤发给我，后续会优先补充到排障手册。