docker - 监听端口和使其可访问之间的区别

Question

我实际上正在阅读 Dockerfile 的 Docker 文档。您可以在其中定义容器中的端口如何公开。在阅读该描述时，我发现我无法理解此处的特定差异。

来自:https://docs.docker.com/engine/reference/builder/#expose

The EXPOSE instruction informs Docker that the container listens on the specified network ports at runtime. EXPOSE does not make the ports of the container accessible to the host.

监听端口和使其可访问的容器(或服务器应用程序)之间有什么区别？

如果应用程序正在监听端口 - 例如，我可以在其上启动 HTTP 请求，它会回答我，对吧？这不是某种访问我必须作为宿主(在这里定义外部上下文)吗？

Answer 1

Expose 只是提供一个提示(信息)哪些端口正在被图像公开。假设您正在询问桥接(默认)容器 - 它们是隔离的并且无法从主机网络访问，受到主机防火墙的保护。因此，如果您对入站流量感兴趣，则需要在主机网络和容器接口(interface)之间创建映射。可以把它想象成在特定端口上打开一扇通向外界的 window 。

假设您对我们感兴趣的图像公开了端口 5000 和 6000，并且您希望将您的容器端口映射到外部世界。

使用 -P (--publish-all) 您可以要求 Docker 守护进程为所有端口创建映射，该镜像公开。或者使用 -p 可以动态分配映射。例如:

docker run -d --name my_app -p 5000 -p 6000 my_image // this will map both exposed ports

与

相同

docker run -d --name my_app -P my_image // this will map all exposed ports (5000 and 5000) 

或者你甚至可以添加额外的端口来暴露

docker run -d --name my_app -expose 8000 -P my_image // now 5000, 6000, 8000 are mapped

或者您可以重新映射到不同的端口，例如:

docker run ... -p 3000:4000 ... // 
             host_port:container_port

映射后你可以查看所有端口映射

docker port my_app(或容器 ID 而不是 my_app)

这会给你这样的东西

5000/tcp -> 0.0.0.0:32773
6000/tcp -> 0.0.0.0:32772
8000/tcp -> 0.0.0.0:32771