### 在Docker中查看开放的防火墙端口并添加新端口 在Docker环境中，容器的端口映射与宿主机的防火墙规则密切相关。以下内容详细说明如何在Docker中查看开放的防火墙端口以及如何添加新的端口。 #### 查看Docker容器开放的端口 Docker容器运行时会自动将容器内的端口映射到宿主机的特定端口，并通过iptables规则实现访问控制。可以通过以下命令查看当前Docker容器开放的端口： ```bash docker ps --format "{{.Ports}}" ``` 上述命令将列出所有正在运行的容器及其映射的端口[^1]。此外，还可以使用`iptables`命令直接查看Docker创建的防火墙规则： ```bash sudo iptables -L -n | grep DOCKER ``` 此命令会显示Docker链下的所有规则，包括开放的端口和对应的IP地址[^3]。 #### 添加新的端口映射 如果需要为现有的Docker容器添加新的端口映射，可以使用以下方法： 1. **通过`docker run`命令添加端口映射** 如果尚未启动容器，可以在启动时通过`-p`参数指定新的端口映射。例如： ```bash docker run -d -p 8080:80 --name my_container my_image ``` 上述命令将宿主机的8080端口映射到容器的80端口。 2. **通过`docker port`动态添加端口映射** 对于已经运行的容器，可以通过以下步骤手动添加端口映射： - 首先找到容器的ID或名称： ```bash docker ps ``` - 然后使用`iptables`命令手动添加规则。例如，将宿主机的9090端口映射到容器的80端口： ```bash sudo iptables -t nat -A DOCKER -p tcp --dport 9090 -j DNAT --to-destination <容器IP>:80 ``` 其中，`<容器IP>`可以通过以下命令获取： ```bash docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' <容器ID> ``` 3. **重启Docker服务以应用更改** 如果手动修改了iptables规则或遇到端口无法访问的问题，可以尝试重启Docker服务以重新加载规则： ```bash sudo systemctl restart docker ``` #### 检查防火墙规则是否生效 即使配置了端口映射，也可能因为防火墙规则未正确设置而导致外部无法访问。可以通过以下命令检查防火墙状态： ```bash firewall-cmd --list-all ``` 如果发现所需的端口未被放行，可以使用以下命令添加规则： ```bash firewall-cmd --zone=public --add-port=9090/tcp --permanent firewall-cmd --reload ``` #### 注意事项 - Docker在启动容器时会自动为映射的端口添加iptables规则，通常无需手动干预。但如果规则失效，可能需要重启Docker服务或宿主机[^2]。 - 如果宿主机启用了SELinux，可能会干扰Docker的网络功能。可以通过临时禁用SELinux进行测试： ```bash setenforce 0 ```