容器内端口监听失败需逐层排查：先验证服务是否真监听0.0.0.0:端口（非127.0.0.1），再查应用配置、容器网络模式与ip分配、端口映射及宿主机防火墙/安全组，最后排除docker0网桥、br_netfilter模块和iptables nat规则异常。
容器内部端口监听失败，不是“服务没起来”这么简单——它常是网络配置、应用绑定、权限或启动顺序共同作用的结果。排查要从容器内服务本身开始，再逐层向外验证。
确认服务是否真在监听目标端口
别只信日志说“server started”，得亲眼看见端口被占住：
- 进容器执行
netstat -tuln | grep :端口号或ss -tuln | grep :端口号，看是否有0.0.0.0:端口或*:端口条目；若只有127.0.0.1:端口，说明服务只绑定了本地回环，外部（包括其他容器）无法访问 - 检查应用配置：例如 Node.js 的
app.listen(3000, '0.0.0.0')，PHP-FPM 的listen = 0.0.0.0:9000，Nginx 的listen 80 default_server是否明确写了0.0.0.0而非127.0.0.1 - 有些框架默认只监听
localhost（如某些 Spring Boot 版本），需显式设server.address=0.0.0.0
验证容器网络模式与 IP 分配是否正常
监听地址对了，还得有可用的 IP 和网络栈支撑：
- 运行
ip addr show查容器内主网卡（通常是eth0）是否有有效 IP（如172.18.0.x），且不在127.0.0.0/8或0.0.0.0等无效范围 - 确认容器使用的是
bridge模式：cat /proc/self/cgroup | grep net或docker inspect 容器名 | jq '.HostConfig.NetworkMode'应为bridge或自定义网络名 - 若用
--network=none或--network=host，监听行为和可达性逻辑完全不同，需按对应模式重新评估
检查端口映射与宿主机连通路径
即使容器内监听正常，外部仍可能访问不到：
- 执行
docker port 容器名，确认目标端口已正确映射（如8080/tcp -> 0.0.0.0:8080）；若无输出，说明未做-p映射 - 在宿主机上运行
curl -v http://localhost:映射端口，测试基础可达性；失败则检查防火墙（ufw、iptables）、SELinux 或云平台安全组是否拦截 - 注意：Docker 默认不转发
127.0.0.1上的服务，即使映射了端口，若容器内服务只监听127.0.0.1，宿主机curl localhost:端口也会 Connection refused
排除 Docker 网络底层异常干扰
极少数情况，bridge 网络本身状态异常会导致监听“看似生效实则不可达”：
- 检查
docker0网桥是否 UP：ip link show docker0，状态应为UP；若为DOWN，重启 Docker 服务通常可恢复 - 确认
br_netfilter内核模块已加载：lsmod | grep br_netfilter，缺失会导致 NAT 规则失效，影响端口转发 - 查看 iptables nat 表中 DOCKER 链是否存在：
iptables -t nat -L DOCKER，空则说明 Docker 未成功注入规则，常见于 Docker 启动异常或 systemd 依赖冲突
