怎么解决 Docker 容器网络配置导致的业务无法正常运行故障教程

答案是：先确认容器运行状态和网络接入，再区分内部服务异常与外部访问失效，接着验证DNS和基础连通性，最后检查宿主机IP转发与防火墙规则。排查需按容器状态→网络配置→服务监听→DNS解析→宿主机网络策略顺序展开，避免盲目重启。

遇到 Docker 容器网络配置导致业务无法运行，核心不是“重装”或“重启”，而是快速定位网络层断点并针对性修复。多数故障集中在容器连不上外网、服务间调不通、外部访问不到、DNS 解析失败这四类场景，下面按实际排查逻辑分步说明。

确认容器是否真在运行且已接入正确网络

很多“网络故障”其实是容器根本没起来，或启动时指定的网络已不存在：

• 运行 docker ps -a 查看容器状态，Exited 状态说明启动失败，需先查日志：docker logs <container_id>
• 用 docker inspect <container_id> | grep -A 10 "NetworkSettings" 检查 NetworkSettings.Networks 下是否有有效网络名（如 my_app_net），若为空或显示 "bridge": {} 但无 IP，则可能启动时指定了不存在的网络
• 执行 docker network ls，确认容器依赖的网络是否存在；若输出里没有，说明该网络已被删掉或未创建

区分是容器内部不通，还是对外暴露失效

业务不可用常被笼统归为“网络问题”，但本质可能是两个不同层面：

• 容器内服务自身不响应：进入容器执行 curl -v http://localhost:8080（替换为实际端口），若超时或拒绝连接，问题在应用未监听、端口错配或权限限制，与 Docker 网络无关
• 宿主机或外部无法访问服务：检查是否用了 -p 映射，运行 docker port <container_id> 确认端口绑定是否生效；再在宿主机上 curl http://127.0.0.1:<host_port> 测试，通则说明映射正常，不通需查防火墙或 iptables 规则
• 特别注意：bridge 模式下，容器默认不支持通过服务名互相访问——除非使用自定义 bridge 网络并显式加入

验证 DNS 和基础连通性是否正常

DNS 失效会导致依赖域名的服务（如调用第三方 API、拉取配置）静默失败：

• 进容器执行 cat /etc/resolv.conf，确认 nameserver 是 127.0.0.11（Docker 内置 DNS）或你指定的可靠地址（如 8.8.8.8）
• 测试解析：nslookup google.com 或 dig github.com +short；若超时，临时改写 resolv.conf：echo "nameserver 8.8.8.8" > /etc/resolv.conf 再试
• 同时 ping IP（如 ping 8.8.8.8）验证底层路由是否通——如果 IP 能通但域名不通，基本锁定 DNS 问题

检查宿主机网络转发与防火墙干扰

Docker 的 NAT 依赖宿主机内核转发和 iptables 规则，这两项常被系统更新或安全策略意外关闭：

• 确认 IP 转发开启：cat /proc/sys/net/ipv4/ip_forward 返回 1 才有效；若为 0，执行 sudo sysctl -w net.ipv4.ip_forward=1（永久生效需写入 /etc/sysctl.conf）
• 检查 NAT 规则是否存在：sudo iptables -t nat -L POSTROUTING -n | grep MASQUERADE，应看到类似 MASQUERADE all -- 172.17.0.0/16 0.0.0.0/0 的规则；缺失则重启 Docker：sudo systemctl restart docker
• CentOS/RHEL 用户重点排查 firewalld：sudo systemctl stop firewalld 临时关闭，若网络恢复，说明需配置 firewalld 的 docker zone 或切换为 iptables 管理