一、啥是 Docker 容器端口映射
咱先说说 Docker 容器端口映射是个啥东西。简单来讲，Docker 容器就像是一个个独立的小房间，每个房间都有自己的门牌号（端口）。但是呢，这些小房间在一个大的房子（宿主机）里，外面的人（外部网络）想要进到某个小房间，就需要通过大房子的门牌号和小房间的门牌号对应起来，这个对应过程就是端口映射。
比如说，有个容器运行着一个 Web 服务，它在容器内部监听的是 80 端口。但是宿主机上可能已经有其他服务占用了 80 端口，这时候就不能直接把容器的 80 端口暴露出去。我们可以把容器的 80 端口映射到宿主机的 8080 端口，这样外部网络就可以通过宿主机的 8080 端口访问到容器里的 Web 服务了。
二、端口冲突是咋回事
端口冲突就好比很多人都想用同一个门牌号，这肯定不行啊。在 Docker 里，每个容器都有自己的端口，宿主机也有自己的端口。如果多个容器或者容器和宿主机上的其他服务都想用同一个端口，就会产生冲突。
举个例子，我们有两个容器，一个是 Web 服务容器，一个是数据库容器。Web 服务容器在内部监听 80 端口，数据库容器也想监听 80 端口，这时候就会冲突。因为宿主机上同一个端口只能被一个服务使用。
下面是一个简单的 Docker 运行命令示例（Docker 技术栈）：
# 尝试同时运行两个监听 80 端口的容器，会产生端口冲突
docker run -d -p 80:80 nginx # 启动一个 Nginx 容器，将宿主机的 80 端口映射到容器的 80 端口
docker run -d -p 80:80 httpd # 再启动一个 Apache 容器，同样将宿主机的 80 端口映射到容器的 80 端口，这会报错
当我们执行上面的命令时，第二个命令会报错，提示端口已经被占用，这就是端口冲突的表现。
三、如何解决端口冲突
1. 手动指定端口映射
我们可以手动指定宿主机和容器之间的端口映射，让每个容器使用不同的宿主机端口。
还是上面的例子，我们可以把 Web 服务容器映射到宿主机的 8080 端口，数据库容器映射到宿主机的 3306 端口。
# Docker 技术栈
docker run -d -p 8080:80 nginx # 将宿主机的 8080 端口映射到 Nginx 容器的 80 端口
docker run -d -p 3306:3306 mysql # 将宿主机的 3306 端口映射到 MySQL 容器的 3306 端口
这样，两个容器就不会产生端口冲突了，外部网络可以通过宿主机的 8080 端口访问 Nginx 服务，通过 3306 端口访问 MySQL 服务。
2. 使用随机端口映射
Docker 还支持随机端口映射，就是让 Docker 自动为容器分配一个可用的宿主机端口。
# Docker 技术栈
docker run -d -P nginx # 使用 -P 参数，Docker 会自动为容器分配一个宿主机端口
执行这个命令后，Docker 会在宿主机上找一个空闲的端口，然后将其映射到容器的 80 端口。我们可以通过 docker ps 命令查看具体的映射情况。
docker ps
输出结果可能如下：
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
abcdef123456 nginx "/docker-entrypoint.…" 5 minutes ago Up 5 minutes 0.0.0.0:32768->80/tcp determined_bartik
这里可以看到，宿主机的 32768 端口被映射到了容器的 80 端口。
四、访问限制是怎么回事
访问限制就像是给小房间加了一把锁，不是谁都能随便进去。在 Docker 里，访问限制主要是通过防火墙和网络策略来实现的。
比如说，我们只想让特定的 IP 地址访问容器的服务，就可以通过防火墙规则来限制。
1. 使用防火墙限制访问
在 Linux 系统上，我们可以使用 iptables 来设置防火墙规则。
# 只允许 IP 地址为 192.168.1.100 的主机访问宿主机的 8080 端口
iptables -A INPUT -p tcp --dport 8080 -s 192.168.1.100 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j DROP
上面的命令表示，只允许 IP 地址为 192.168.1.100 的主机访问宿主机的 8080 端口，其他主机的访问请求都会被拒绝。
2. 使用 Docker 网络策略限制访问
Docker 本身也提供了一些网络策略来限制容器之间的访问。
# 创建一个自定义的 Docker 网络
docker network create my_network
# 运行一个 Nginx 容器，并加入到 my_network 网络中
docker run -d --network my_network --name nginx_container nginx
# 运行一个 MySQL 容器，并加入到 my_network 网络中
docker run -d --network my_network --name mysql_container mysql
# 现在，只有在 my_network 网络中的容器才能相互访问
通过这种方式，我们可以限制容器之间的访问，提高安全性。
五、应用场景
1. 开发环境
在开发过程中，我们可能需要同时运行多个服务，比如 Web 服务、数据库服务等。使用 Docker 容器端口映射可以方便地在本地搭建多个服务，并且避免端口冲突。
例如，我们可以在本地同时运行一个 Node.js 开发服务器和一个 MySQL 数据库容器，通过端口映射将它们的服务暴露到宿主机上，方便开发和调试。
# Docker 技术栈
docker run -d -p 3000:3000 node:14-alpine node app.js # 运行 Node.js 开发服务器，将宿主机的 3000 端口映射到容器的 3000 端口
docker run -d -p 3306:3306 mysql:8.0 # 运行 MySQL 数据库容器，将宿主机的 3306 端口映射到容器的 3306 端口
2. 生产环境
在生产环境中，我们需要将多个服务部署到不同的容器中，并且要确保它们之间的访问安全。通过端口映射和访问限制，可以有效地管理服务的访问和安全。
例如，我们可以将 Web 服务和数据库服务分别部署到不同的容器中，通过端口映射将 Web 服务暴露到公网，同时限制数据库服务只能被 Web 服务容器访问。
# Docker 技术栈
docker run -d -p 80:80 nginx # 运行 Nginx 容器，将宿主机的 80 端口映射到容器的 80 端口
docker run -d --network my_network --name mysql_container mysql:8.0 # 运行 MySQL 容器，加入到 my_network 网络中
然后通过网络策略限制只有 Nginx 容器可以访问 MySQL 容器。
六、技术优缺点
优点
- 灵活性高：可以根据需要随时调整端口映射，方便管理和维护。
- 隔离性好：每个容器都有自己独立的端口，不会相互影响。
- 安全性高：可以通过访问限制来保护容器内的服务。
缺点
- 配置复杂：当容器数量较多时，端口映射的配置会变得复杂，容易出错。
- 端口资源有限：宿主机的端口资源是有限的，如果容器数量过多，可能会出现端口不够用的情况。
七、注意事项
1. 端口规划
在使用 Docker 容器端口映射时，要提前规划好端口的使用，避免出现端口冲突。可以制定一个端口使用规范，比如将 Web 服务统一使用 8000 - 8999 端口，数据库服务使用 3300 - 3399 端口等。
2. 防火墙规则
在设置防火墙规则时，要仔细检查规则的正确性，避免误封合法的访问请求。同时，要定期检查防火墙规则，确保其有效性。
3. 容器网络
在使用 Docker 网络时，要了解不同网络模式的特点，选择合适的网络模式来满足需求。例如，bridge 网络模式适用于大多数场景，而 host 网络模式可以让容器直接使用宿主机的网络。
八、文章总结
Docker 容器端口映射是 Docker 技术中非常重要的一部分，它可以帮助我们解决端口冲突和访问限制的问题。通过手动指定端口映射、使用随机端口映射等方法，我们可以有效地避免端口冲突。同时，通过防火墙和网络策略，我们可以实现对容器服务的访问限制，提高安全性。
在实际应用中，我们要根据不同的场景选择合适的端口映射和访问限制方法，并且要注意端口规划、防火墙规则和容器网络等方面的问题。这样才能更好地使用 Docker 容器，提高开发和运维的效率。
评论