快捷導(dǎo)航

docker proxy實(shí)現(xiàn)原理解析

更新時(shí)間：2026年04月22日 10:15:55 作者：janeysj

Docker 是一個(gè)開(kāi)源的容器化平臺(tái),它允許開(kāi)發(fā)者打包、分發(fā)和運(yùn)行應(yīng)用程序,本文給大家介紹docker proxy實(shí)現(xiàn)原理,感興趣的朋友跟隨小編一起看看吧

DNAT (iptables 規(guī)則)： 這是主要方式，效率極高，直接在內(nèi)核層面處理流量。
docker-proxy： 這是一個(gè)運(yùn)行在用戶態(tài)（Userland）的小程序。每當(dāng)你映射一個(gè)端口，Docker 就會(huì)為該端口啟動(dòng)一個(gè)獨(dú)立的 docker-proxy 進(jìn)程。

以上兩個(gè)動(dòng)作是由docker自動(dòng)完成的，這時(shí)，你使用如下命令（netstat, ps）可以查看到該docker-proxy進(jìn)程：

但是，如果你使用命令sudo kill -9 2152 把這個(gè)docker-proxy進(jìn)程殺死，你再次訪問(wèn)該主機(jī)的30003端口，仍然可以正常訪問(wèn)?。。〉悄?code>ss 或 netstat搜索不到任何關(guān)于30003端口的信息。

1. 為什么進(jìn)程殺了，網(wǎng)頁(yè)還能訪問(wèn)？

這就是 Docker 的“雙保險(xiǎn)”機(jī)制：

保險(xiǎn) A (iptables): 只要容器還在運(yùn)行，Docker 就會(huì)在 Linux 內(nèi)核中寫入一條 iptables 轉(zhuǎn)發(fā)規(guī)則（DNAT）。這條規(guī)則在內(nèi)核態(tài)生效，不依賴任何進(jìn)程。
保險(xiǎn) B (docker-proxy): 這是一個(gè)用戶態(tài)進(jìn)程，主要負(fù)責(zé)處理一些 iptables 覆蓋不到的邊角情況。

當(dāng)你殺掉 docker-proxy 進(jìn)程后，內(nèi)核態(tài)的 iptables 規(guī)則依然穩(wěn)如泰山。所以，外部流量打到 30003 時(shí)，內(nèi)核直接把包轉(zhuǎn)給了容器，網(wǎng)頁(yè)自然能打開(kāi)。這時(shí)你輸入命令，大概率會(huì)看到：

[root@localhost ~]#  sudo iptables -t nat -L DOCKER -n | grep 30003
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:30003 to:172.21.0.3:30003

2. 為什么ss搜不到了？

ss 和 netstat 查的是系統(tǒng)中的 Socket 監(jiān)聽(tīng)表。

當(dāng) docker-proxy 運(yùn)行時(shí)，它會(huì)占用（Bind）30003 端口，ss 就能看到它。
你把它殺了，這個(gè)端口在用戶態(tài)就處于“空閑”狀態(tài)。
但是，內(nèi)核 iptables 就像一個(gè)“隱形攔截者”，它在數(shù)據(jù)包還沒(méi)到達(dá) Socket 層之前就把包搶走了。

3. 會(huì)有什么后果？

雖然現(xiàn)在訪問(wèn)正常，但殺掉 docker-proxy 可能會(huì)導(dǎo)致以下小問(wèn)題：

宿主機(jī)局部回環(huán)失效： 在某些配置下，你在宿主機(jī)本地執(zhí)行 curl localhost:30003 可能會(huì)失?。ūM管從外網(wǎng)訪問(wèn)是好的）。
狀態(tài)不一致： Docker 此時(shí)并不知道你手動(dòng)殺了它的組件。當(dāng)你下次 docker stop 或 rm 這個(gè)容器時(shí)，Docker 可能會(huì)因?yàn)檎也坏皆撨M(jìn)程而報(bào)一個(gè)小錯(cuò)誤（盡管它通常會(huì)自動(dòng)忽略）。