本文详解 Moodle-Docker 在云服务器（VPS）上部署时“Connection refused”错误的根本原因与修复方案，重点说明为何 MOODLE_DOCKER_WEB_PORT=0.0.0.0:8000 能解决问题，并提供安全、可复用的生产级配置建议。
本文详解 moodle-docker 在云服务器（vps）上部署时“connection refused”错误的根本原因与修复方案，重点说明为何 `moodle_docker_web_port=0.0.0.0:8000` 能解决问题，并提供安全、可复用的生产级配置建议。
当你在 VPS 上通过 moodle-docker 部署 Moodle 并配置域名访问时，出现 curl: (7) Failed to connect... Connection refused，并非网络或防火墙配置错误，而是容器端口绑定策略导致的服务不可达。核心症结在于：默认情况下，moodle-docker 的 Web 容器仅将端口绑定到 127.0.0.1（本地回环），而非 0.0.0.0（所有网络接口）——这意味着服务仅对宿主机内部可达，对外网请求完全屏蔽。
? 为什么 127.0.0.1:8000→80/tcp 会导致公网无法访问？
Docker 的 -p 映射语法为 HOST_IP:HOST_PORT:CONTAINER_PORT。若未显式指定 HOST_IP，Docker 默认使用 0.0.0.0；但 moodle-docker 的 bin/moodle-docker-compose 脚本做了特殊处理：当 MOODLE_DOCKER_WEB_PORT 仅为数字（如 8000）时，它会自动补全为 127.0.0.1:8000:80。这源于其设计初衷——面向本地开发测试，强制隔离外部流量以提升安全性。
验证方式：
docker ps --format "table {{.Names}}\t{{.Ports}}" | grep webserver
# 输出示例：
# moodle_webserver_1 127.0.0.1:8000->80/tcp
该输出明确表明：宿主机 127.0.0.1:8000 可访问，但 公网IP:8000 或 域名:8000 因绑定地址受限而被拒绝。
✅ 正确解决方案：显式绑定到 0.0.0.0
将环境变量改为：
export MOODLE_DOCKER_WEB_PORT="0.0.0.0:8000"
⚠️ 注意：必须加英文双引号（防止 Shell 解析空格），且格式为 HOST_IP:HOST_PORT。
执行后重启环境：
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
bin/moodle-docker-compose down bin/moodle-docker-compose up -d
再次检查端口映射：
docker ps --format "table {{.Names}}\t{{.Ports}}" | grep webserver
# 正确输出应为：
# moodle_webserver_1 0.0.0.0:8000->80/tcp
此时 curl http://my-domain.my.id:8000 将成功返回 Moodle 安装页面。
?️ 生产环境关键加固建议
虽然上述修改解决了连通性问题，但直接暴露 :8000 端口至公网存在风险。推荐采用以下分层架构：
-
反向代理前置（强烈推荐）
使用 Nginx 容器作为边缘代理，终止 HTTPS、处理静态资源、转发/到 Moodle 容器：# nginx-proxy.yml（追加至 docker-compose） nginx: image: nginx:alpine ports: - "80:80" - "443:443" volumes: - ./nginx.conf:/etc/nginx/nginx.conf:ro - ./ssl:/etc/nginx/ssl:ro depends_on: - webserver对应
nginx.conf中配置：upstream moodle { server webserver:80; } server { listen 80; server_name my-domain.my.id; return 301 https://$host$request_uri; } server { listen 443 ssl; server_name my-domain.my.id; ssl_certificate /etc/nginx/ssl/fullchain.pem; ssl_certificate_key /etc/nginx/ssl/privkey.pem; location / { proxy_pass http://moodle; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } } 禁用调试端口暴露
移除MOODLE_DOCKER_WEB_PORT，改用标准端口（80/443），并通过--network moodle-net让容器间通过内网通信，避免任何非必要端口映射。-
启用 HTTPS 强制跳转
Moodle 配置中设置：// config.php $CFG->wwwroot = 'https://my-domain.my.id'; $CFG->httpswwwroot = 'https://my-domain.my.id'; $CFG->cookiesecure = true; $CFG->logintokenrequired = true;
⚠️ 其他常见陷阱排查清单
| 现象 | 检查项 | 解决方案 |
|---|---|---|
Connection refused 即使 0.0.0.0 绑定 |
宿主机防火墙拦截 |
sudo ufw allow 8000 或 sudo firewall-cmd --add-port=8000/tcp --permanent
|
| 页面加载但样式/JS 失败 | Moodle wwwroot 配置错误 |
确保 $CFG->wwwroot 与实际访问 URL（含协议、域名、端口）完全一致 |
| 数据库连接超时 |
MOODLE_DOCKER_DB 与 db 服务名不匹配 |
检查 base.yml 中 depends_on 和 MOODLE_DOCKER_DB 值是否对应（如 mysql → db.mysql.yml） |
| 安装页面空白 | PHP 扩展缺失 | 使用 moodlehq/moodle-php-apache:8.1 镜像，确认 gd, mbstring, xml, opcache 已启用 |
? 终极提示：
moodle-docker是为开发者测试优化的工具链，非生产就绪方案。若需上线运行，请基于其架构思想，用自定义docker-compose.yml+ Nginx + Let's Encrypt 实现高可用、可审计、符合 GDPR 的教育平台部署。
