本文详细解析了Docker容器如何访问外部网络，通过iptables的MASQUERADE规则实现NAT转换，确保数据包能到达外网。同时阐述了外部世界如何通过端口映射访问容器内的服务，介绍了docker-proxy在其中的角色，帮助理解容器网络通信机制。
容器访问外部世界
docker host 是可以访问外网的。
容器也能访问外网
为什么容器能够访问到外网呢？我们先来查看iptables的规则
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
其含义是：来自 172.17.0.0/16 网段的包，目标地址是外网（! -o docker0），就把它交给 MASQUERADE 处理。而 MASQUERADE 的处理方式是将包的源地址替换成 host 的地址发送出去，即做了一次网络地址转换（NAT）。
下面我们通过 tcpdump 查看地址是如何转换的。先查看 docker host 的路由表：
默认路由通过 enp0s3 发出去，
最低0.47元/天 解锁文章
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
