---

一、端口映射深度解析

1.1 端口映射核心机制

映射规则语法：

# 完整格式
-p [主机IP:]主机端口:容器端口[/协议]

参数示例	说明	应用场景
-p 8080:80	宿主机所有IP的8080映射到容器80	常规Web服务暴露
-p 127.0.0.1::53/udp	本机随机端口映射到容器53/UDP	DNS服务器调试
-p 192.168.1.100:443:8443	指定宿主机IP和端口	多IP主机环境

---

1.2 高级映射技巧

批量端口映射：

# 开放多个连续端口
-p 8000-8005:8000-8005

# 同时映射TCP/UDP
-p 53:53/tcp -p 53:53/udp

查看端口绑定状态：

# 显示所有端口映射
docker port webapp

# 检查占用端口
ss -tulpn | grep docker-proxy

---

二、容器间服务发现机制

2.1 自定义网络DNS体系

graph LR
    A[容器A] -->|查询容器B| B[嵌入式DNS(127.0.0.11)]
    B --> C[检查本地网络容器]
    C -->|存在记录| D[返回容器IP]
    C -->|无记录| E[转发到宿主机DNS]

DNS解析特性：

• 自动更新：容器启停时动态维护记录
• 别名支持：--network-alias创建多域名
• 轮询负载：相同别名容器自动负载均衡

---

2.2 DNS配置实战

自定义DNS服务器：

docker network create \
  --dns 8.8.8.8 \
  --dns-opt timeout=2 \
  my-dns-network

容器hosts注入：

docker run -d \
  --add-host "db.local:192.168.5.10" \
  --add-host "cache:172.18.0.5" \
  nginx

---

三、生产环境通信方案

3.1 安全映射策略

暴露级别	配置示例	安全建议
完全公开	-p 80:80	配合WAF/防火墙使用
内部访问	-p 127.0.0.1:3306:3306	仅允许本地服务连接
容器间通信	仅通过自定义网络通信	不映射到宿主机端口

3.2 服务发现架构设计

# 创建业务网络
docker network create service-mesh

# 启动服务集群
docker run -d --net=service-mesh --name product-svc1 products:latest
docker run -d --net=service-mesh --name product-svc2 products:latest

# 网关配置
docker run -d --net=service-mesh -p 80:80 \
  -e "PRODUCT_ENDPOINT=http://product-svc:8000" \
  nginx

---

四、调试与排障指南

4.1 网络连通性测试

# 跨容器端口检查
docker exec gateway nc -zv product-svc 8000

# 跟踪DNS解析过程
docker exec -it gateway apk add drill && drill product-svc

4.2 常见问题处理

症状：Connection refused

# 检查服务监听地址
docker exec product-svc1 netstat -tulpn

# 验证容器防火墙规则
docker exec product-svc1 iptables -L -n

症状：Name does not resolve

# 查看DNS配置
docker exec product-svc1 cat /etc/resolv.conf

# 手动查询DNS记录
docker exec product-svc1 ping product-svc1
docker exec product-svc1 ping product-svc2

---

五、性能优化秘籍

5.1 提升端口转发性能

# 启用iptables-nft加速
echo '{
  "iptables": true,
  "userland-proxy": false
}' > /etc/docker/daemon.json

# 重启Docker生效
systemctl restart docker

5.2 DNS缓存优化

# 调整容器内DNS缓存设置
docker run -d \
  --dns-opt "ndots:2" \
  --dns-opt "timeout:2" \
  --dns-opt "attempts:2" \
  myapp:latest

---

架构师点睛：

1. 遵循最小暴露原则：只映射必要的端口
2. 自定义网络是服务发现的基础设施
3. DNS轮询可替代简单负载均衡器
4. 生产环境建议禁用--link使用现代DNS发现