外网无法访问Docker映射端口但宿主机localhost能通，需排查四环节：1.容器服务监听地址是否为0.0.0.0；2.宿主机IPv4转发是否开启（/proc/sys/net/ipv4/ip_forward=1）；3.防火墙是否放行该端口；4.确认docker port输出映射关系且宿主机端口未被占用。
外网无法访问 docker 映射端口，但宿主机 localhost 能通，说明流量在“宿主机网络层→容器”之间被拦住了。核心不是容器没跑，而是请求根本没进到容器里。重点查四个环节：服务监听地址、内核转发、防火墙策略、映射本身是否生效。
确认容器内服务监听的是 0.0.0.0 而非 127.0.0.1
这是最常见原因。只监听 127.0.0.1 的服务，连宿主机其他 IP 都收不到连接，更别说外网了。
- 进容器执行：
netstat -tuln | grep :端口号，输出必须含0.0.0.0:端口号或:::端口号；若显示127.0.0.1:端口号就是错的 - Flask 启动加
-h 0.0.0.0参数；Node.js 用app.listen(端口, '0.0.0.0') - Spring Boot 设置
server.address=0.0.0.0；Go 服务改http.ListenAndServe(":端口", handler)
检查宿主机 IPv4 转发是否开启
Docker 的端口映射依赖内核 NAT 转发能力。关闭等于切断了宿主机转发流量的通道。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 运行
cat /proc/sys/net/ipv4/ip_forward，结果必须是1 - 临时开启：
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward - 永久生效：在
/etc/sysctl.conf末尾追加net.ipv4.ip_forward = 1，再执行sudo sysctl -p
验证宿主机防火墙是否放行目标端口
firewalld 或 iptables 会在请求到达 Docker 规则前就丢包，外网请求压根进不来。
- 查状态：
sudo firewall-cmd --state，若为running则继续 - 查已开放端口：
sudo firewall-cmd --list-ports，确认你的端口在列表中 - 没开就加：
sudo firewall-cmd --permanent --add-port=端口号/tcp，然后sudo firewall-cmd --reload - Ubuntu 用户可用：
sudo ufw allow 端口号
确认 Docker 端口映射真实存在且无冲突
docker ps 显示 “Up” 不代表端口绑定了。得看实际映射关系和宿主机端口占用情况。
- 运行
docker port 容器名或ID，应输出类似8080->80；若无输出，说明-p没生效或参数写错 - 检查宿主机端口是否被占：
sudo ss -tuln | grep :端口号或sudo lsof -i :端口号 - 若端口被其他进程占用，要么杀掉它，要么换宿主机端口重新映射
