Docker异地部署网络连通故障本质是跨主机跨网段通信问题，必须依赖overlay网络或外部SDN方案；需确认Swarm已启用、overlay网络正确创建（含--attachable和--scope swarm）、7946/4789端口双向放行、服务实际调度到目标节点，否则无法实现容器直连。
异地部署场景下，Docker 容器网络连通性故障本质是跨主机、跨网络段的通信问题，不是单机 bridge 能解决的。核心在于：容器不在同一局域网，必须依赖 overlay 网络或外部 SDN 方案实现逻辑二层互通，同时确保底层网络策略放行关键端口。
确认是否使用 overlay 网络（Swarm 模式）
跨节点通信必须依托 Docker 原生 overlay 驱动，它基于 VXLAN 封装实现跨主机容器直连。非 Swarm 环境（如纯 Docker Engine）默认不支持 overlay，强行用 bridge 会导致容器只能访问本机其他容器。
- 检查是否已初始化 Swarm：运行
docker info | grep Swarm，输出active才表示就绪 - 创建 overlay 网络时必须加
--attachable（供独立容器加入）和--scope swarm（跨节点生效）：docker network create -d overlay --attachable myapp-net - 服务部署需通过
docker service create，而非docker run；普通容器若要加入，需指定--network myapp-net并确保节点已加入 Swarm
验证节点间 VXLAN 底层连通性
overlay 依赖 UDP 7946（控制面）和 4789（数据面）端口在所有节点间双向可达。防火墙、云安全组、IDC 策略常默认拦截这些端口。
- 在任一节点执行：
nc -zv <其他节点IP> 7946 && nc -zv <其他节点IP> 4789 - 若失败，需在各节点开放对应端口：
— Ubuntu/ufw：sudo ufw allow 7946/udp && sudo ufw allow 4789/udp
— CentOS/firewalld：sudo firewall-cmd --add-port=7946/udp --permanent && sudo firewall-cmd --add-port=4789/udp --permanent && sudo firewall-cmd --reload - 注意：不要仅关闭防火墙，这会带来安全风险；应精准放行 VXLAN 所需端口
检查 overlay 网络状态与服务分布
即使网络创建成功，若服务未实际调度到目标节点，或 overlay 子网未同步，仍会出现“能 ping 通网关但无法访问对端容器”的现象。
- 查看 overlay 网络详情：
docker network inspect myapp-net，重点确认：
—Driver为overlay
—Scope为swarm
—Containers字段列出所有已接入的容器（含跨节点） - 检查服务任务分布：
docker service ps <service_name>，确认副本是否运行在预期节点上 - 若某节点显示
Pending或Rejected，可能是资源不足、标签不匹配或网络插件未就绪，需查docker service logs <service_name>
替代方案：非 Swarm 场景下的可行路径
若因架构限制无法启用 Swarm（例如混合 K8s + Docker 场景），可采用以下方式绕过 overlay 依赖：
- 宿主机路由 + macvlan：为容器分配物理网段 IP，需交换机支持混杂模式或配置 ARP 代理，适合私有云环境
- 反向代理暴露 + 外部 DNS：将各节点容器服务统一通过 Nginx/HAProxy 对外暴露，用域名+负载均衡实现逻辑互通，牺牲直接容器寻址，但简单可靠
- 第三方 CNI 插件（如 Calico、Flannel）：脱离 Docker 内置网络栈，在节点上部署统一 CNI，适用于与 Kubernetes 共存或需要细粒度策略的场景
