Windows上Docker Desktop绑定80/443失败，主因是winnat服务默认保留0–1023端口（非进程占用），需管理员重启winnat或改用非保留端口（如8080）并确保Docker Desktop以管理员身份运行。
端口 80/443 绑定失败，大概率不是被进程占了
Windows 上 Docker Desktop 报 Ports are not available: listen tcp 0.0.0.0:80: bind: An attempt was made to access a socket in a way forbidden by its access permissions，第一反应查 netstat -ano | findstr :80 很可能看到「空闲」——这不是排查漏了，而是 Windows 系统层保留机制在起作用。Hyper-V 和 WSL2 后端依赖 winnat 服务管理虚拟网络，它会默认保留包括 80、443 在内的低编号端口（0-1023），即使没进程监听，bind() 也会被内核拒绝。
检查并重置 Windows 动态端口与 winnat 保留策略
先确认当前系统是否启用了端口保留：
netsh int ipv4 show dynamicport tcp
输出中若显示 Start Port: 为 0 或包含 80，说明保留范围已覆盖目标端口。此时必须重置 winnat：
- 以管理员身份打开 PowerShell
- 执行
net stop winnat（立即释放所有保留） - 执行
net start winnat - 重启 Docker Desktop（不是仅 restart container，要完整重启桌面应用）
注意：winnat 重启后，保留端口不会自动恢复，但 Docker Desktop 下次启动时可能再次触发保留逻辑——所以这步是临时解法，不是一劳永逸。
绕过系统保留的两种可靠做法
如果需要长期稳定用 80/443，不建议反复重置 winnat。更稳妥的路径是：
-
改用非保留端口映射：例如
docker run -p 8080:80 nginx，浏览器访问http://localhost:8080。这是最安全、无需权限提升的方案 -
关闭 Hyper-V/WSL2 切换到 Windows Container 模式（极少数场景适用）：Docker Desktop 设置 → General → 「Use the WSL 2 based engine」取消勾选 → 切换到 Windows containers → 此时端口绑定走 Windows 原生栈，不再经过
winnat，但绝大多数 Linux 镜像无法运行
不要试图修改注册表强行扩大动态端口起始值来“避开”80——Windows 对 0–1023 的保留是硬编码行为，改了也无效。
Docker Desktop 必须以管理员权限运行才能绑定保留端口
即使 winnat 已重置，Docker Desktop 进程本身若未提权，仍无法绑定 80/443。验证方式：
- 右键任务栏 Docker 图标 → Quit Docker Desktop
- 右键开始菜单中的 Docker Desktop → 「以管理员身份运行」
- 再执行
docker run -p 80:80 nginx
常见坑：PowerShell 或 cmd 以管理员运行 ≠ Docker Desktop 以管理员运行；后台常驻进程不会继承终端权限。一旦你发现只有「管理员启动 Docker Desktop」才生效，就说明权限是核心瓶颈，而非端口占用。
真正难处理的不是「怎么让 80 跑起来」，而是搞清哪一层在拦截：是 winnat 保留？是 Docker Desktop 进程没提权？还是你在 WSL2 里误以为宿主机端口可用？三者混在一起时，逐层排除比盲目重启更省时间。
