【Docker基础】Docker端口映射（-p参数）深度解析与实践指南

• 网络隔离：容器默认运行在隔离的网络环境
• 端口冲突：多个容器可能使用相同的默认服务端口
• 安全控制：精确控制哪些端口对外暴露
• 灵活配置：外部端口可与内部端口不同

• -p或--publish参数的基本语法格式：

docker run -p [宿主机IP:][宿主机端口]:容器端口 [镜像]

docker run -p 192.168.10.30:8080:80 nginx

• 宿主机IP：192.168.10.30
• 宿主机端口：8080
• 容器端口：80

docker run -p 8080:80 nginx

• 绑定到宿主机所有网络接口(0.0.0.0)
• 宿主机端口：8080
• 容器端口：80

docker run -p 80 nginx

• 宿主机随机分配端口
• 容器端口：80
• 可通过docker port命令查看实际映射

docker run -p 8080:80/tcp -p 8080:80/udp nginx

• 可以指定TCP或UDP协议
• 默认为TCP协议

• 一个容器可以同时映射多个端口：

docker run -p 8080:80 -p 8443:443 -p 3306:3306 nginx

• 外部请求到达宿主机指定端口
• 内核检查iptables规则
• 匹配到DNAT（目标地址转换）规则
• 请求被转发到容器的虚拟网卡
• 容器处理请求并返回响应
• 响应经过反向地址转换后返回客户端

• 可以通过以下命令查看Docker创建的iptables规则：

iptables -t nat -L -n

• 映射连续的端口范围：

docker run -p 8000-8005:8000-8005 nginx

• 让Docker自动选择宿主机端口：

docker run -p 80 nginx

• 查看实际映射端口：

docker port <容器ID或名称>

• 默认网络模式
• 必须显式声明端口映射
• 通过docker-proxy或iptables实现

docker run --network=host nginx

• 直接使用宿主机网络栈
• 不需要端口映射（-p参数无效）
• 容器端口直接暴露在宿主机上

version: '3.8'
services:
  web:
    image: nginx
    ports:
      - "8080:80"
      - "8443:443"
  db:
    image: mysql
    ports:
      - "3306:3306"

• 典型开发环境端口映射配置：

# 前端开发
docker run -p 3000:3000 frontend-app

# 后端开发
docker run -p 8080:8080 backend-app

# 数据库
docker run -p 3306:3306 mysql

• 不同环境使用不同端口避免冲突：

# 测试环境
docker run -p 8081:80 nginx

# 预发布环境
docker run -p 8082:80 nginx

# 生产环境
docker run -p 80:80 nginx

failed to bind port 0.0.0.0:3306/tcp: Error starting userland proxy: listen tcp4 0.0.0.0:3306: bind: address already in use.

• 更改宿主机端口：

docker run -p 8081:80 nginx

• 查找并终止占用进程：

lsof -i :8080 kill <PID>

• 使用--expose仅暴露端口而不映射

• 检查容器是否运行：

docker ps

• 检查端口映射是否正确：

docker port <容器ID>

• 检查容器内服务是否监听正确端口：

docker exec -it <容器ID> netstat -tuln

• 检查防火墙/安全组设置