端口映射失效本质是外部请求未抵达容器服务，需按流量路径逐层排查：宿主机端口接收→iptables DNAT→docker0转发→容器内监听。先用docker inspect确认PortBindings配置，再查iptables -t nat -L DOCKER是否有DNAT规则，接着验证容器内netstat是否监听0.0.0.0:端口，并排除防火墙、host网络模式及端口冲突等干扰。
默认 bridge 网络下端口映射失效，本质是外部请求没能正确抵达容器内部服务。问题通常不出在 docker 命令本身，而藏在数据包流转的某个环节被拦截、跳过或转发错误。排查要顺着流量路径一层层验证：从宿主机端口接收 → iptables dnat → docker0 网桥转发 → 容器内服务监听。
确认端口映射是否真实生效
运行 docker inspect <容器名>，重点看 HostConfig.PortBindings 和 NetworkSettings.Ports 两处。如果显示 "8080/tcp": [{"HostIp": "0.0.0.0", "HostPort": "18800"}]，说明映射已写入配置；若为空或结构异常（如 HostPort 缺失），说明启动时 -p 参数未生效或被覆盖。
- 检查容器是否用
--network=host或--network=none启动——这两种模式下-p完全无效 - 避免重复使用
-p映射同一宿主机端口，后启动的容器会抢占，但前一个仍显示在 inspect 中，造成误判
验证宿主机 iptables 是否加载了 DNAT 规则
Docker 启动容器时，会在 iptables -t nat 的 PREROUTING 和 DOCKER 链中插入 DNAT 规则。执行：sudo iptables -t nat -L DOCKER -n -v
应看到类似：DNAT tcp -- !localhost anywhere anywhere tcp dpt:18800 to:172.17.0.2:8080
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 若该链为空，常见原因是 Docker 守护进程启用了
"iptables": false（见/etc/docker/daemon.json），此时需手动管理规则或改回 true - 若规则存在但
pkts计数始终为 0，说明请求根本没到达宿主机对应端口（可能是防火墙拦截或访问地址错误）
检查容器内服务是否真正在监听且绑定正确
进入容器：docker exec -it <容器名> sh
执行：netstat -tuln | grep :8080 或 ss -tuln | grep :8080
- 必须看到
*:8080或0.0.0.0:8080，而不是127.0.0.1:8080—— 后者只接受本地回环访问，无法响应来自 docker0 的流量 - 确认应用日志无启动失败报错，比如端口被占、配置文件缺失、权限不足等
- 可临时用
curl -v http://localhost:8080在容器内自测，排除服务本身问题
排除宿主机层面干扰因素
端口映射不是“设了就通”，它依赖宿主机基础网络能力：
- 检查宿主机防火墙（如 ufw、firewalld、iptables INPUT 链）是否放行目标端口，例如：
sudo ufw status verbose - 确认请求访问的是宿主机实际 IP（非 127.0.0.1），尤其在云服务器或 WSL 环境中，宿主机 IP 可能不是 localhost
- 运行
ip addr show查看 docker0 是否处于 UP 状态，IP 地址是否在预期子网（如 172.17.0.1/16） - 若宿主机有多个网卡，Docker 默认只监听 0.0.0.0，但某些安全策略可能限制特定接口，可尝试显式绑定：
-p 192.168.1.100:18800:8080
