4. 端口映射原理

端口映射是 Docker 容器与宿主机网络通信的核心机制。默认情况下，容器拥有独立的网络命名空间，宿主机无法直接访问容器内部的服务端口。端口映射通过在宿主机网络接口上建立“监听点”，将发往宿主机特定端口的流量透明地转发到容器内的目标端口，从而实现外部访问。

4.1 端口映射概念

端口映射的本质是 网络地址转换（NAT） 与 端口转发 的组合。Docker 利用 iptables 规则（Linux）或 Windows 端口代理机制，在宿主机内核层面完成数据包的改写与路由。

映射关系一旦建立，所有到达宿主机指定端口（如 8080）的 TCP/UDP 数据包，都会被 Docker 的代理进程 docker-proxy 或内核 NAT 规则重定向到容器内部 IP（如 172.17.0.2）的对应端口（如 80）。

4.2 -p 与 -P 参数详解

Docker 提供两种端口映射方式：手动指定（-p） 和 自动分配（-P）。两者在灵活性和便捷性上各有侧重。

4.2.1 -p 手动映射的四种格式

-p 参数支持多种格式，覆盖从简单到复杂的映射需求：

1. 容器端口映射到宿主机所有接口的随机端口
   -p 80 → 宿主机随机端口 → 容器 80 端口
2. 宿主机指定端口映射到容器端口
   -p 8080:80 → 宿主机 8080 → 容器 80
3. 宿主机指定 IP 和端口映射到容器端口
   -p 192.168.1.10:8080:80 → 仅绑定到特定 IP
4. 宿主机指定 IP 和端口映射到容器端口（含协议）
   -p 192.168.1.10:8080:80/tcp → 仅 TCP 协议

4.2.2 -P 自动映射机制

使用 -P 时，Docker 会扫描 Dockerfile 中的 EXPOSE 指令，为每个暴露的端口自动分配一个宿主机高位端口（默认范围 32768-60999）。

# Dockerfile 示例
FROM nginx:alpine
EXPOSE 80
EXPOSE 443

# 启动容器，自动映射
docker run -d -P --name web nginx:alpine

# 查看映射结果
docker port web
# 输出示例：
# 80/tcp -> 0.0.0.0:32768
# 443/tcp -> 0.0.0.0:32769

4.3 宿主机端口与容器端口绑定机制

端口绑定的底层实现涉及两个关键组件：docker-proxy 和 iptables NAT 规则。

• docker-proxy 进程：每个映射端口都会启动一个 docker-proxy 进程，在宿主机监听指定端口，并将连接转发到容器。该进程运行在用户态，负责 TCP/UDP 的透明代理。
• iptables 规则：Docker 在宿主机内核的 nat 表中添加 DNAT 规则，实现数据包的直接路由。对于高性能场景，内核态转发优于用户态代理。

4.4 动态端口映射

动态端口映射是指在容器运行时动态添加、修改或删除端口映射规则，而无需重启容器。这在集成测试中尤为实用，允许测试脚本按需调整网络拓扑。

4.4.1 使用 Docker API 动态映射

Docker 引擎 API 提供了 /containers/{id}/update 端点，支持在容器运行状态下更新端口映射。但需注意：并非所有 Docker 版本都支持动态端口映射，建议在 Docker 1.25+ 版本中使用。

# 使用 curl 调用 Docker API 动态添加端口映射
# 前提：容器已创建，但未设置端口映射
curl -X POST \
  -H "Content-Type: application/json" \
  -d '{
    "PortBindings": {
      "80/tcp": [{"HostPort": "8080"}]
    }
  }' \
  --unix-socket /var/run/docker.sock \
  http://localhost/v1.41/containers/web/update

4.4.2 使用 iptables 手动添加规则

对于需要精细控制的场景，可以直接操作 iptables 添加 DNAT 规则：

# 手动添加端口映射规则
# 将宿主机 9090 端口映射到容器 172.17.0.2 的 80 端口
iptables -t nat -A DOCKER \
  -p tcp --dport 9090 \
  -j DNAT --to-destination 172.17.0.2:80

# 查看已添加的规则
iptables -t nat -L DOCKER -n --line-numbers

4.4.3 动态映射的典型测试场景