Docker容器网络不通排查指南
前言
容器跑起来了，但是网络不通——ping不通外网、容器间互相访问不了、端口映射不生效…
这类问题排查比较麻烦，涉及容器网络、宿主机网络、iptables规则等多个层面。这篇整理一套系统的排查流程，覆盖常见的网络问题场景。
一、容器访问不了外网
症状：
docker exec -it myapp ping 8.8.8.8
# 卡住或者 Network is unreachable
第一反应：检查宿主机的IP转发有没有开。
cat /proc/sys/net/ipv4/ip_forward
如果是0，容器的包出不去。开一下：
echo 1 > /proc/sys/net/ipv4/ip_forward
# 永久生效要写到sysctl.conf
还是不通？看下iptables的NAT规则：
iptables -t nat -L -n | grep MASQUERADE
应该有条类似这样的规则：
MASQUERADE all -- 172.17.0.0/16 0.0.0.0/0
没有的话Docker的NAT可能被清掉了，重启Docker一般能恢复：
systemctl restart docker
还有一个大坑：firewalld。CentOS默认开着，它和Docker的iptables规则会打架。
# 先关了试试
systemctl stop firewalld
如果关了就好了，说明是防火墙的问题。正式解决要配置firewalld的docker zone，或者干脆用iptables。
二、容器间网络不通
在同一台机器上，两个容器互相访问不了。
先确认它们在不在同一个网络：
docker inspect 容器A --format '{{.NetworkSettings.Networks}}'
docker inspect 容器B --format '{{.NetworkSettings.Networks}}'
如果都在默认的bridge网络，有个坑：默认bridge不支持通过容器名访问。
docker exec 容器A ping 容器B
# ping: 容器B: Name or service not known
只能用IP：
# 先拿到IP
docker inspect 容器B --format '{{.NetworkSettings.IPAddress}}'
# 172.17.0.3
docker exec 容器A ping 172.17.0.3
# 这样就通了
嫌麻烦的话，用自定义网络：
docker network create mynet
docker network connect mynet 容器A
docker network connect mynet 容器B
# 现在可以用名字了
docker exec 容器A ping 容器B
自定义网络有内置DNS，会自动解析容器名。
三、端口映射不生效
docker run -p 8080:80 nginx
curl http://localhost:8080
# 不通
先确认服务在容器里跑起来没：
docker exec 容器 curl localhost:80
如果容器里能访问说明服务没问题，那问题在外面。
检查点：
1、服务监听的地址对不对：
docker exec 容器 netstat -tlnp
如果显示127.0.0.1:80，那外面肯定访问不了，要改成0.0.0.0:80。
2、宿主机端口有没有被占：
netstat -tlnp | grep 8080
3、防火墙/安全组：
# 本地防火墙
firewall-cmd --list-ports
# 云服务器别忘了安全组
云服务器安全组没开端口是个常见的坑。
四、DNS解析失败
能ping通IP，但ping域名不行：
docker exec 容器 ping 8.8.8.8 # 通
docker exec 容器 ping baidu.com # 不通
看下容器的DNS配置：
docker exec 容器 cat /etc/resolv.conf
如果DNS服务器不可达，最简单的办法是启动时指定：
docker run --dns 8.8.8.8 nginx
或者全局配置，改 /etc/docker/daemon.json：
{
"dns": ["8.8.8.8", "114.114.114.114"]
}
五、跨主机容器通信
这个稍微复杂点。两台机器上的容器默认是不通的，因为各自的bridge网络是隔离的。
最简单的方案：用端口映射，通过宿主机IP访问。
# 机器B上
docker run -p 8080:80 nginx
# 机器A上访问
curl http://机器B的IP:8080
想让容器直接互通的话，要用overlay网络或者第三方方案（Flannel、Calico这些）。
还有个偏门办法：如果两台主机已经通过WireGuard或者其他组网工具连在一起了，可以配静态路由让容器网段互通。不过这个配置比较麻烦，一般不推荐。
六、一键诊断脚本
懒得一个个查，写了个脚本：
#!/bin/bash
# 用法: ./check.sh 容器名
C=$1
echo "=== 检查 $C ==="
echo -e "
[网络模式]"
docker inspect $C --format '{{.HostConfig.NetworkMode}}'
echo -e "
[IP地址]"
docker inspect $C --format '{{.NetworkSettings.IPAddress}}'
echo -e "
[路由]"
docker exec $C ip route 2>/dev/null || echo "无ip命令"
echo -e "
[DNS]"
docker exec $C cat /etc/resolv.conf 2>/dev/null
echo -e "
[外网连通性]"
docker exec $C ping -c 1 -W 2 8.8.8.8 2>/dev/null && echo "OK" || echo "不通"
echo -e "
[宿主机IP转发]"
cat /proc/sys/net/ipv4/ip_forward
跑一下基本能看出问题在哪。
总结
Docker网络问题90%出在这几个地方：
| 问题 | 原因 | 解决 |
|---|---|---|
| 容器出不了外网 | ip_forward没开 | echo 1 > /proc/sys/net/ipv4/ip_forward |
| 容器出不了外网 | 防火墙拦截 | 检查firewalld/iptables |
| 容器间不通 | 不在同一网络 | 使用自定义网络 |
| 端口映射失败 | 服务监听127.0.0.1 | 改成监听0.0.0.0 |
| DNS解析失败 | DNS服务器不可达 | 指定DNS服务器 |
排查顺序：网络配置 → IP转发 → 防火墙规则 → 服务监听地址 → DNS配置
有问题评论区交流。
本文地址：https://www.yitenyun.com/6191.html
