为什么只配置了“expose”的服务能够与Internet通信？

Question

docker网络有些让我困惑。我有一个docker-compose.yml文件，可以这样简化：

version: '3.8'
services:
    foo:
        ...
        networks:
            - main_network
        ports:
            - "3000:3000"
    bar:
        ...
        networks:
            - main_network
        expose:
          - "5000"
networks:
    main_network:

公开端口而不将其发布到主机--它们仅可被链接的服务访问。只能指定内部端口。

如果这是真的，bar应该只向foo服务公开5000端口。而且它似乎像预期的那样起作用。如果，我将bash运行到bar服务中并执行：

$ ss -lntu 

5000端口已正确打开：

Netid    State     Recv-Q  Send-Q   Local Address:Port    Peer Address:Port
...
tcp      LISTEN    0       128      0.0.0.0:5000          0.0.0.0:*
...

$ nmap -p1-65535 127.0.0.1

PORT     STATE SERVICE
3000/tcp open  ppp

所以，我不明白的是IRL，我的bar服务能够连接到Mongo Atlas online或ping Internet。如果端口没有暴露/打开以接收它，它如何得到它的答案？

Answer 1

你所联系到的答案是旧的和不正确的。

>

expose关键字主要是一个no-op。它的信息很丰富（“此映像将在这些端口上提供服务”），但它没有任何操作影响。

在Docker的旧版本中，expose关键字可用于链接容器的服务发现，但(a)它仍然没有任何操作影响--无论是否有匹配的expose，端口都可用--容器“链接”已被弃用一段时间。

默认情况下，容器具有出站internet访问权限。出站访问是通过主机防火墙NAT表中的简单NAT规则（以及筛选器转发链中的相应规则）管理的。例如，在运行Docker 20.10.2的系统上，在forward链中，我有：

-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT

第一条规则传递作为现有TCP连接一部分的数据包。这允许出站连接的返回数据包。