使用-p参数加ip前缀可将容器端口映射到宿主机指定ip，仅该ip监听；格式为ip:宿主机端口:容器端口，如192.168.1.100:8080:80；ip须为宿主机真实地址，防火墙需放行对应端口。
用 -p 参数加 IP 地址前缀就能把容器端口映射到宿主机的指定 IP 上，不是所有网卡都监听，只绑定你写的那个地址。
映射到特定 IP 的指定端口
格式是 IP:宿主机端口:容器端口，比如：
-
docker run -d -p 192.168.1.100:8080:80 nginx→ 把容器 80 端口映射到宿主机 192.168.1.100 的 8080 端口 -
docker run -d -p 127.0.0.1:3000:3000 my-app→ 只允许本机（localhost）通过 3000 访问，外部机器连不上
这种写法最常用，适合多网卡环境或需要限制访问来源的场景。
映射到指定 IP 的随机端口
如果不想手动选端口，但又要限定绑定 IP，用 IP::容器端口 格式：
-
docker run -d -p 192.168.1.100::80 nginx→ Docker 自动从可用端口里挑一个（比如 32768），绑定到 192.168.1.100 的该端口 - 查实际映射用
docker port
常见注意事项
- IP 必须是宿主机已配置的真实地址（
ip a或ifconfig能查到），不能是容器内网 IP（如 172.x.x.x） - 若指定的是
127.0.0.1，外部网络无法访问；想让局域网其他设备访问，得用物理网卡 IP（如 192.168.x.x） - 防火墙（如 ufw、firewalld 或 iptables）要放行对应端口和 IP，否则即使映射成功也连不通
验证是否生效
启动后执行：
-
docker ps看 PORTS 列是否显示类似192.168.1.100:8080->80/tcp -
netstat -tlnp | grep :8080（Linux）确认监听在目标 IP 和端口上 - 从另一台机器用
curl http://192.168.1.100:8080测试连通性
