要让 docker 容器直接使用宿主机的网络命名空间，需在 docker run 时指定 --network=host 参数，此时容器共享宿主机 ip、端口和网络栈，不分配独立 ip、不走 nat、禁用端口映射，且 ip addr 和 /proc/1/ns/net 等输出与宿主机一致。
要让 Docker 容器直接使用宿主机的网络命名空间（即 host 网络模式），从而共享宿主机的端口、IP 和网络栈，只需在运行容器时指定 --network=host 参数即可。这种方式下，容器不再拥有独立的网络命名空间，所有网络操作（如监听端口、访问 localhost）都等同于在宿主机上执行。
启用 host 网络模式的关键操作
使用 docker run 启动容器时，添加 --network=host 即可：
- 命令示例：
docker run --network=host -d nginx—— 此时 Nginx 直接监听宿主机的 80 端口，无需映射（-p参数失效且不应再使用） - 该参数必须在容器启动前指定，运行中的容器无法动态切换网络模式
- 不支持与
-p、--publish或--expose混用，否则会报错或被忽略
host 模式下的端口冲突与注意事项
由于容器和宿主机共用同一套端口空间，端口冲突风险显著升高：
- 若宿主机已有服务占用了 80 端口（如已运行的 Apache），容器内的 Nginx 将无法绑定成功，启动失败并报 “address already in use”
- 容器内进程需以非 root 用户或适当权限运行，才能绑定低于 1024 的端口（如 80/443），除非容器启用
--privileged或配置 cap-add -
localhost在容器内指向宿主机的 127.0.0.1，因此访问http://localhost:3306实际连接的是宿主机的 MySQL，而非其他容器
替代方案：何时不该用 host 模式
host 模式虽简单高效，但牺牲了网络隔离性与端口灵活性，以下情况建议避免：
- 需要多个容器同时监听同一端口（如两个 Web 服务都用 80 端口）—— 必须改用 bridge 模式 + 端口映射（
-p 8080:80） - 部署在 Swarm 或 Kubernetes 等编排平台中 —— host 网络受限严重，通常不被推荐或不支持
- 安全要求高、需限制容器网络能力的场景 —— host 模式下容器可直接操作宿主机网络设备、iptables 等
验证是否生效的方法
进入容器后检查网络状态，确认其与宿主机一致：
- 执行
ip addr，输出应与宿主机完全相同（接口名、IP、MAC 均一致） - 运行
cat /proc/self/ns/net，其 inode 号应与宿主机的/proc/1/ns/net相同 - 尝试
ss -tln | grep :80，看到的监听进程就是容器内应用本身，而非 Docker-proxy
