企业官网建设流程全解析

1、简介

在 Docker 中实现“只允许宿主机访问”有几种常见方案，具体取决于你是用桥接网络还是主机网络，以及是否需要跨容器通信。

核心原则：只要将容器端口绑定在127.0.0.1上，外部网络就无法直接访问。

2、方案一：绑定到宿主机回环地址（最推荐）

这是最标准、最安全的做法。在docker run或docker-compose中，将端口映射明确指定为127.0.0.1。

1. 使用 docker run 命令

docker run -d -p 127.0.0.1:8080:80 nginx

• 效果：宿主机上通过curl http://localhost:8080可以访问。

• 外部：同局域网其他设备（如手机、另一台电脑）通过http://宿主机IP:8080无法连接。

2. 使用 docker-compose.yml

version: '3' services: web: image: nginx ports: - "127.0.0.1:8080:80" # 关键写法

3、方案二：仅使用容器内部端口（不映射）

如果只有宿主机上的其他容器需要访问该服务，而宿主机本身不需要通过localhost访问，可以不进行端口映射。

docker run -d --name myapp nginx

• 此时宿主机curl localhost无法访问。

• 宿主机上的其他容器可以通过容器名称访问（需在同一自定义网络中）。

# 创建网络 docker network create mynet # 运行两个容器 docker run -d --name app1 --network mynet nginx docker run -it --rm --network mynet alpine sh # 在 alpine 容器内执行：curl http://app1:80 可以访问

4、方案三：使用防火墙（iptables）进行严格限制

如果由于某些原因（比如必须使用-p 0.0.0.0:8080:80），可以借助宿主机防火墙拦截外部流量。

在宿主机执行（以 Linux iptables 为例）：

# 只允许本机（127.0.0.1）访问 8080 端口，其他全部拒绝 iptables -I INPUT 1 -p tcp --dport 8080 ! -s 127.0.0.1 -j DROP

• 注意：Docker 默认会操作 iptables，此规则可能与 Docker 自动生成的规则冲突，维护较复杂，建议优先使用方案一。

5、方案四：使用 Docker 的--internal网络（隔离外部）

创建一个内部网络，容器无法访问外网，但宿主机仍可访问容器端口（需做端口映射）。

docker network create --internal isolated-net docker run -d --network isolated-net -p 127.0.0.1:8080:80 nginx

• 容器无法访问互联网（安全性高），但宿主机仍可通过localhost:8080访问。

6、验证方法

部署完成后，可以在宿主机和外部设备上分别测试：

# 在宿主机上（应该成功） curl http://localhost:8080 # 在另一台电脑上（应该超时或拒绝连接） curl http://<宿主机IP>:8080

7、补充

特殊场景：容器内需要访问宿主机服务

如果你的需求是“容器只允许宿主机访问”，但容器内又需要调用宿主机上的某个服务，可以这样配置：

在容器内使用host.docker.internal（Mac/Windows）或172.17.0.1（Linux）访问宿主机：

# Linux 下获取宿主机在 docker0 上的 IP ip addr show docker0 # 通常是 172.17.0.1

• 在容器内执行curl http://172.17.0.1:宿主机端口即可。

已存在的容器-重建容器（推荐，最干净）

步骤：

# 1. 停止并删除旧容器（注意：数据卷不会丢，但容器配置会丢） docker stop <容器名> docker rm <容器名> # 2. 用同样的镜像重新创建，但加上 127.0.0.1 docker run -d --name <容器名> -p 127.0.0.1:8080:80 <其他参数> <镜像名>

问题：如果你之前有环境变量、挂载卷等复杂配置，重新输入命令容易遗漏。

解决方法：使用docker inspect导出旧配置

# 查看旧容器的完整启动命令 docker inspect <容器名> | grep -A 5 "Cmd" docker inspect <容器名> | grep -A 10 "Env" # 或者直接用 --restart 参数生成新命令（推荐工具） docker run --rm -v /var/run/docker.sock:/var/run/docker.sock assaflavie/runlike <容器名>

这会输出完整的docker run命令，你复制出来，把-p 8080:80改成-p 127.0.0.1:8080:80再执行即可。