https://stackonward.com/zh/tags/0.0.0.0/Recent content in 0.0.0.0 on 远栈Hugozh-CNThu, 03 Sep 2026 18:30:00 +0800https://stackonward.com/zh/posts/docker-port-firewall-loopback/Wed, 02 Sep 2026 23:50:00 +0800https://stackonward.com/zh/posts/docker-port-firewall-loopback/<p>判断 Docker 端口是否暴露，需要分别查看容器内监听地址、宿主机端口绑定，以及防火墙和云安全组。容器内监听 <code>0.0.0.0</code>，不等于该端口已经暴露到公网。</p> <figure> <img src="https://stackonward.com/images/posts/docker-port-firewall-loopback/zh/network-boundaries.svg" alt="公网经过云安全组和宿主防火墙访问反向代理，应用与数据库只在 Docker 网络内通信的分层图" loading="lazy" decoding="async"> <figcaption>应用和数据库只在 Docker 网络通信；公网只能到达反向代理开放的端口。</figcaption> </figure> <h2 id="监听地址宿主绑定和服务名属于不同网络层">监听地址、宿主绑定和服务名属于不同网络层</h2> <table> <thead> <tr> <th>配置位置</th> <th>示例</th> <th>含义</th> </tr> </thead> <tbody> <tr> <td>应用进程监听</td> <td><code>0.0.0.0:8080</code></td> <td>接受当前容器所有网络接口上的 8080 连接</td> </tr> <tr> <td>应用进程监听</td> <td><code>127.0.0.1:8080</code></td> <td>只接受同一容器回环接口的连接</td> </tr> <tr> <td>Docker 端口发布</td> <td><code>127.0.0.1:8080:8080</code></td> <td>宿主机本地可通过 8080 访问容器 8080</td> </tr> <tr> <td>Docker 端口发布</td> <td><code>0.0.0.0:8080:8080</code></td> <td>宿主机全部 IPv4 接口发布 8080，可能被公网访问</td> </tr> <tr> <td>Compose 内部访问</td> <td><code>http://app:8080</code></td> <td>同网络服务通过服务名访问容器端口</td> </tr> </tbody> </table> <p>两处 <code>0.0.0.0</code> 的作用不同。应用在容器内监听全部接口，是为了让同网络代理访问；Docker 把端口发布到宿主全部接口，则扩大了宿主机入口。</p>