生产环境docker端口映射必须遵循最小暴露、精准控制、网络隔离三原则：显式指定绑定ip（如127.0.0.1或内网段）避免0.0.0.0全网监听；弃用默认bridge网络，启用禁用icc的自定义隔离网络；结合宿主机防火墙二次过滤，并通过反向代理统一入口，敏感服务不直接映射端口。
生产环境中的 docker 端口映射不是“能通就行”，而是必须遵循最小暴露、精准控制、网络隔离三原则。默认的 -p 8080:80 映射方式若未加约束，极易让服务直面公网扫描与暴力探测。
限制绑定地址，避免全网监听
Docker 默认将端口绑定到 0.0.0.0（所有接口），这是最大风险点。应显式指定只监听内网或本地回环：
- 仅允许本机访问（适合管理后台、健康检查）：
docker run -p 127.0.0.1:8080:80 nginx - 仅允许内网段访问（如 192.168.10.0/24）：
docker run -p 192.168.10.1:8080:80 nginx - 在
docker-compose.yml中同样支持：ports: - "127.0.0.1:3000:3000"
禁用默认桥接，启用自定义隔离网络
默认 bridge 网络不提供容器间通信策略控制，所有同网段容器可自由互访。生产中应弃用：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 创建带驱动选项的自定义网络：
docker network create --driver bridge --subnet=172.20.0.0/16 --opt com.docker.network.bridge.enable_icc=false mynet
其中enable_icc=false关闭容器间自动通信 - 运行容器时明确指定网络：
docker run --network=mynet -p 127.0.0.1:8080:80 nginx - 多个服务间需通信时，通过
networks和aliases显式声明，而非依赖广播发现
结合宿主机防火墙实施二次过滤
Docker 的 iptables 规则由 daemon 自动管理，但易被覆盖或绕过。应在宿主机层叠加防护：
- 使用
ufw或firewalld限制入向端口：sudo ufw allow from 192.168.10.5 to any port 8080 - 禁止外部直接访问管理端口（如 2375/2376）：
sudo ufw deny 2375、sudo ufw deny 2376 - 对已暴露端口设置连接速率限制，防暴力探测：
sudo ufw limit 8080/tcp
敏感服务不映射，改用反向代理统一入口
数据库、缓存、内部 API 等不应直接映射端口对外暴露：
- Nginx / Traefik 作为唯一入口，通过
upstream或服务发现转发请求 - 内部服务仅加入私有网络，不发布任何
ports字段：services:<br> api:<br> networks: [backend]<br> # 不写 ports
- JFrog Artifactory 等平台类服务，按规范修改映射端口（如从 8081 改为 8082），并配合路径前缀和认证中间件
