Docker 容器无法访问外网怎么办？DNS、转发与防火墙排查教程

适用场景与排查前的准备

Docker 容器无法访问外网是部署网站、接口服务和任务程序时很常见的问题。典型表现包括：容器内执行 curl 一直超时、apt 或 yum 无法下载软件包、应用连接第三方 API 失败，或者域名无法解析但直接访问 IP 正常。此类故障不一定来自 Docker 本身，也可能与宿主机网络、DNS、内核转发、防火墙规则、云平台安全策略或企业代理有关。

开始操作前，先记录容器名称、镜像版本、Docker 网络模式以及故障出现时间。若服务器正在承载线上业务，不要直接清空 iptables 规则，也不要贸然重启 Docker；重启可能造成容器短暂中断，未设置自动启动策略的容器还可能无法恢复。建议先备份 Docker 配置和防火墙规则，并选择业务低峰期处理。

docker ps
docker network ls
docker inspect 容器名称
iptables-save > /root/iptables-backup.txt

第一步：确认宿主机与容器的基础网络状态

首先在宿主机测试外网连接。如果宿主机本身不能访问公网，就应优先检查云服务器欠费、默认路由、网卡配置、DNS 和上游网络，而不是修改容器。可以分别测试公网 IP 和域名，这能快速判断故障属于网络连通性还是域名解析。

ping -c 4 1.1.1.1
curl -I --connect-timeout 10 https://www.example.com
ip route

宿主机正常后，再进入容器执行相同测试。部分精简镜像没有 ping、curl 或 nslookup，这是镜像工具缺失，不代表网络一定异常。可以使用已有的 wget，或者临时启动带网络诊断工具的容器，并让它加入目标容器所在网络。排查结束后删除临时容器，避免长期占用资源。

docker exec -it 容器名称 sh
docker run --rm --network container:容器名称 curlimages/curl:latest -I https://www.example.com

第二步：判断是否为 DNS 解析故障

如果容器能访问公网 IP，却不能访问域名，问题通常集中在 DNS。先查看容器中的 /etc/resolv.conf，并用 getent、nslookup 或 dig 测试解析。Docker 默认可能把请求交给内置 DNS，再转发到宿主机配置的上游 DNS；宿主机使用本地回环地址、VPN DNS 或仅在特定网络可达的 DNS 时，容器可能无法复用。

cat /etc/resolv.conf
getent hosts www.example.com
nslookup www.example.com

确认是 DNS 问题后，可在 Docker 守护进程配置中指定可靠且符合所在网络要求的 DNS。编辑 /etc/docker/daemon.json 前必须备份原文件，并保留其中已有配置，不能直接覆盖。JSON 不允许注释和尾随逗号，修改后先校验格式。公共 DNS 不一定适合企业内网域名，企业环境应优先使用管理员提供的 DNS。

cp /etc/docker/daemon.json /etc/docker/daemon.json.bak
{
  "dns": ["223.5.5.5", "119.29.29.29"]
}
dockerd --validate --config-file=/etc/docker/daemon.json

配置生效通常需要重载或重启 Docker，可能影响正在运行的容器，应先评估业务影响。对于单个容器，也可以在 docker run 中使用 --dns，或在 Compose 文件中设置 dns，先做小范围验证。不要把仅临时可用的地址写成长期配置。

第三步：检查 IP 转发、NAT 与防火墙规则

Docker 默认 bridge 网络需要宿主机开启 IPv4 转发，并通过 NAT 将容器私有地址转换为宿主机地址。先查看 net.ipv4.ip_forward。如果值为 0，可以临时开启验证，但永久修改前应确认服务器的安全策略；开启转发会改变主机的数据包转发能力，边界服务器尤其需要同步检查访问控制。

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -L POSTROUTING -n -v

随后检查 FORWARD 链和 Docker 相关链是否存在。不要为了省事执行 iptables -F 或关闭全部防火墙，这可能暴露数据库、管理面板等敏感服务。若使用 firewalld 或 ufw，应确认转发策略没有阻断 Docker 网桥，并检查系统是否同时混用 nftables 与旧版 iptables 后端。规则体系混用时，表面上看到规则存在，实际数据包可能走另一套后端。

iptables -L FORWARD -n -v
iptables -L DOCKER-USER -n -v
nft list ruleset
firewall-cmd --state
ufw status verbose

若 Docker 链缺失，先查看 Docker 服务日志和 daemon.json 中是否设置了 "iptables": false。该选项会阻止 Docker 自动维护必要规则，除非管理员已经自行配置完整的转发和 NAT，否则容器很容易失去外网访问。修改前应理解现有网络设计，不要在 Kubernetes、复杂网关或生产集群中照搬单机配置。

第四步：检查代理、MTU 与自定义网络

公司网络或受控机房可能要求通过 HTTP/HTTPS 代理访问公网。宿主机终端可联网，不代表 Docker 守护进程和容器自动继承代理。可以检查容器内的 HTTP_PROXY、HTTPS_PROXY 和 NO_PROXY，也要查看 Docker 服务是否配置代理。密码、令牌等代理凭据不要写进镜像或提交到代码仓库，建议使用安全的环境变量或密钥管理机制。

docker exec 容器名称 env | grep -i proxy
systemctl show --property=Environment docker
systemctl cat docker

如果小数据包正常、下载大文件或建立 HTTPS 连接时卡住，可能是 MTU 不匹配。云网络、隧道和叠加网络常会降低可用 MTU。可以对比宿主机网卡、docker0 和自定义网络的 MTU，再根据云平台或网络管理员提供的数值调整。不要凭感觉随意设置过小数值，因为这会增加分片和协议开销。

ip link show
ip link show docker0
docker network inspect bridge

还要检查容器是否使用 none 网络、错误的自定义网络，或 Compose 配置中把 internal 设置为 true。内部网络按设计就不能直接访问外网。修改网络时建议新建测试容器验证，确认应用、数据库和反向代理之间的通信均正常后，再迁移线上容器。

常见问题与处理建议

问题一：容器能 ping 公网 IP，但 curl 域名失败怎么办？ 这通常是 DNS 故障。检查 resolv.conf、Docker 内置 DNS 和上游 DNS 可达性；优先使用所在网络认可的 DNS，并通过单容器配置先验证。

问题二：重启 Docker 后网络恢复，还需要继续排查吗？ 需要。重启只能说明状态被重新初始化，根因可能是规则被安全软件覆盖、网络管理服务重载、Docker 链丢失或资源异常。应结合 journalctl、系统变更记录和故障时间继续定位，避免再次发生。

问题三：可以直接关闭 firewalld 或 ufw 吗？ 不建议。关闭防火墙可能让原本受保护的端口暴露到公网。正确做法是备份规则、确认被阻断的链和接口，然后添加最小范围的放行策略，并从外部复核端口暴露情况。

问题四：只有某一个容器不能联网，其他容器正常是什么原因？ 优先检查该容器的网络模式、DNS、代理环境变量、路由和应用配置。也可创建同网络的临时诊断容器进行对比。如果临时容器正常，问题更可能位于目标镜像或应用层，而不是宿主机。

总结

Docker 容器无法访问外网时，最有效的方法是按链路逐层排查：先确认宿主机公网正常，再区分 IP 连通与 DNS 解析，随后检查内核转发、NAT、防火墙、代理、MTU 和容器网络模式。每一步都保留测试结果，能够避免无目的地修改配置。

生产环境处理网络故障时，安全与可回退比快速试错更重要。修改 daemon.json、sysctl 或防火墙前先备份，涉及 Docker 重启时评估停机影响，删除和清空规则前更要确认业务依赖。若服务器使用云厂商专有网络、容器编排平台或企业统一安全策略，应以对应平台官方文档和网络管理员给出的配置为准。