当我们使用Docker部署服务时，经常会遇到容器之间无法通信的问题。这种情况就像你住进了新建的小区，却发现邻居家的门铃怎么按都没反应。今天我们就来聊聊，遇到这种"门铃失灵"的情况该怎么排查。
一、检查基础网络配置
首先得确认最基本的网络设置是否正确。就像检查家里的Wi-Fi是否连上了一样简单。
使用以下命令查看容器网络配置：
# 查看容器网络详情
docker inspect <容器ID> | grep IPAddress
# 示例输出：
# "IPAddress": "172.17.0.2"
如果发现IP地址是空的，那说明容器根本没有获得IP地址。这时候可以：
- 检查docker daemon是否正常运行
- 查看主机网络接口配置
- 确认防火墙规则没有阻止docker网络
二、验证容器间连通性
知道了IP地址后，我们可以做个简单的ping测试：
# 进入容器A
docker exec -it 容器A sh
# 在容器A中ping容器B
ping 172.17.0.3
如果ping不通，可能有以下几种情况：
- 容器B没有暴露端口
- 容器B的防火墙设置阻止了ICMP包
- 两个容器不在同一个网络
三、检查端口映射和暴露情况
有时候容器虽然运行着服务，但外部就是访问不到。这通常是因为端口映射出了问题。
查看端口映射情况：
docker port <容器ID>
# 示例输出：
# 80/tcp -> 0.0.0.0:8080
如果输出为空，说明没有设置端口映射。这时候需要：
- 检查Dockerfile中是否有EXPOSE指令
- 确认运行容器时使用了-p参数
- 查看服务是否真的在监听指定端口
四、排查自定义网络问题
当我们使用自定义网络时，问题可能会更复杂一些。
创建自定义网络并检查：
# 创建自定义网络
docker network create my-network
# 将容器连接到网络
docker network connect my-network 容器A
# 查看网络详情
docker network inspect my-network
常见问题包括：
- 容器没有连接到正确的网络
- 网络驱动配置不当
- 网络子网冲突
五、检查DNS解析问题
容器间通信有时需要通过服务名而不是IP地址。如果发现通过IP能通但服务名不行，那可能是DNS解析问题。
测试DNS解析：
# 在容器内执行
nslookup 服务名
# 或者
ping 服务名
如果解析失败，可以：
- 检查/etc/resolv.conf配置
- 确认docker daemon的DNS设置
- 查看容器hosts文件
六、深入排查网络策略
当基础检查都正常但问题依旧时，可能需要深入网络策略层面。
使用iptables查看规则：
sudo iptables -L -n -v
重点关注：
- DOCKER链的规则
- 是否有规则阻止了特定端口的通信
- NAT表是否正确配置
七、使用网络诊断工具
对于复杂问题，可以借助专业工具：
# 在容器内安装网络工具
apt-get update && apt-get install -y net-tools tcpdump
# 抓包分析
tcpdump -i eth0 -nn -v
通过抓包可以观察到：
- 请求是否真的到达了目标容器
- 是否有响应返回
- 数据包在哪个环节丢失了
八、检查应用层配置
有时候问题不在网络层面，而是应用配置问题。
比如Spring Boot应用需要配置：
# 确保监听所有网络接口
server.address=0.0.0.0
# 正确设置端口
server.port=8080
常见应用层问题：
- 服务只绑定了127.0.0.1
- 应用防火墙规则限制
- 上下文路径配置错误
九、分析Docker日志
当所有方法都试过还是找不到原因时，查看日志是最后的手段。
获取容器日志：
docker logs <容器ID>
重点关注：
- 应用启动时的网络相关错误
- 连接超时信息
- 权限拒绝等安全相关日志
十、总结与最佳实践
经过以上步骤，大多数网络问题都能找到原因。这里总结几个最佳实践：
- 始终使用自定义网络而不是默认的bridge网络
- 明确指定容器IP地址避免冲突
- 使用docker-compose管理复杂应用
- 为生产环境配置合适的网络驱动
- 定期检查网络配置和防火墙规则
记住，网络问题排查要有条理，从底层开始逐步向上排查。就像修水管一样，先检查总闸，再检查分支，最后才是水龙头。
评论