容器访问宿主机端口受限的本质是网络隔离，需三步解决：一查宿主机服务是否监听0.0.0.0而非127.0.0.1；二配防火墙放行172.17.0.0/16网段访问目标端口；三在容器内用host.docker.internal（mac/win）或172.17.0.1（linux）替代localhost。

容器访问宿主机端口受限，本质是网络隔离导致的“找不到宿主机服务”。关键不在容器怎么发请求，而在宿主机是否允许、能否被正确寻址、服务是否真正可被容器访问。下面从三个最常卡住的环节给出直接可用的解法。

确认宿主机服务监听地址是否包含容器网段

很多服务（如 Ollama、Python Flask、本地 S3）默认只监听 127.0.0.1，这意味它拒绝来自 docker0 网桥（如 172.17.0.0/16）的连接。

• 检查监听状态：ss -tuln | grep :端口号 或 netstat -tulnp | grep :端口号
• 若只看到 127.0.0.1:端口，需改为 0.0.0.0:端口（或具体绑定宿主机局域网 IP）
• 常见修改方式：
  – Python Flask：app.run(host='0.0.0.0', port=8076)
  – Ollama：ollama serve --host 0.0.0.0:11434
  – 自定义服务：查其配置项（如 bind、listen、host）

放开宿主机防火墙对容器网段的访问

即使服务监听了 0.0.0.0，Linux 防火墙仍可能拦截来自 docker0 网桥的请求（特别是生产环境或 hardened 系统）。

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• Docker 默认 bridge 网络使用 172.17.0.0/16 子网，这是容器出口 IP 所在范围
• 临时放行（以端口 8076 为例）：
  sudo iptables -I INPUT -p tcp --dport 8076 -s 172.17.0.0/16 -j ACCEPT
• 若用 ufw：sudo ufw allow from 172.17.0.0/16 to any port 8076
• 永久生效建议保存规则（如 sudo iptables-save > /etc/iptables/rules.v4）

在容器中正确引用宿主机地址

容器内写 localhost:端口 是错的——它指向容器自己，不是宿主机。

• 开发环境（macOS/Windows Docker Desktop）：直接用 host.docker.internal:端口
• Linux 环境（包括 CI/CD 或服务器部署）：
  启动容器时显式注入：--add-host host.docker.internal:host-gateway
  例如：docker run --add-host host.docker.internal:host-gateway -p 8080:8080 myapp
• 通用替代方案（不依赖 DNS）：
  – 查宿主机在 docker0 上的 IP：ip addr show docker0 | grep inet → 通常为 172.17.0.1
  – 容器内访问：curl http://172.17.0.1:8076

补充：慎用 --network host 模式

虽然 --network host 能让容器直接用宿主机网络（localhost 生效），但它绕过 Docker 网络栈，带来安全与端口冲突风险，不推荐用于生产或多个容器共存场景。仅限调试或单容器轻量部署。