例子：docker run -name zxy-nginx -itd -p 8080:80 mynginx:v1 /bin/bash分析：在docker默认配置时刻，docker端口暴露是通过docker-proxy加适当的iptables规则实现的。
如图，
docker-proxy 通过-host-ip指定了docker-proxy在主机上监听的网络接口，通过-host-port指定了监听的端口号；通过-container-ip和-container-port 指定了docker-proxy链接到容器内部的容器ip和端口号。也就是说，在做完端口映射后，docker-proxy负责去监听主机的端口号，并做好容器内部的连接。在上例中docker-proxy监听0.0.0.0:514，那么当主机任何网络接口上有netfliter模块处理后input链到达的目标端口为8080的tcp数据包时刻，docker-proxy会接受这个链接（accept，记为input链接），并主动在连接container-ip+container-port建立一个tcp链接（记为output链接）。当此新建的与容器的链接建立后，docker-proxy会将所有来自input链接的包 发送给output链接。
附图，docker-proxy不起作用的情况，即外部访问
参考连接：https://www.jianshu.com/p/91002d316185
快，滋醒这个做梦的人，有糖尿病的往后靠靠哈，不要给他点甜头！
本文章为转载内容，我们尊重原作者对文章享有的著作权。如有内容错误或侵权问题，欢迎原作者联系我们进行内容更正或删除文章。
