播面

在 Docker 容器内部安全地访问宿主机上运行的服务（如数据库、缓存等），是一个非常常见的场景。为了确保安全性和便利性，通常需要从网络连接方式和安全防护（认证与防火墙）两个维度来设计。

以下是实现这一需求的最佳实践和具体方案：

一、 网络连接方案（如何连通？）

不要使用 0.0.0.0 暴露宿主机服务，而是应该利用 Docker 提供的内置机制来定位宿主机。

方案 1：使用 Docker 默认网桥的网关 IP（推荐，跨平台通用）

在默认的桥接网络（Bridge Network）中，宿主机对于容器来说有一个特定的 IP 地址（通常是 172.17.0.1 或 172.18.0.1）。

1. 获取宿主机 IP：
   在容器内，宿主机的 IP 就是容器默认网关的 IP。可以通过以下命令查看：
   bash

   ip route show | awk '/default/ {print $3}'

2. 连接：
   在容器内的应用配置文件中，将数据库连接地址指向这个 IP（例如 172.17.0.1:3306）。

方案 2：使用 host.docker.internal（推荐，最简便）

Docker 提供了一个特殊的 DNS 名称 host.docker.internal，它会自动解析为宿主机的 IP。

• Docker Desktop (macOS / Windows)：默认支持，直接在容器内访问 host.docker.internal:端口 即可。

• Docker Engine (Linux, v20.10及以上)：
  需要在启动容器（docker run）或 docker-compose 中手动启用这个映射。

  使用 docker run 启动：

  bash

  docker run -d --add-host=host.docker.internal:host-gateway --name my-app my-image

  使用 docker-compose.yml：

  yaml

  version: '3.8'
  services:
    web:
      image: my-app-image
      extra_hosts:
        - "host.docker.internal:host-gateway"
      environment:
        - DB_HOST=host.docker.internal

  然后在应用中直接连接 host.docker.internal:3306。

方案 3：使用 Host 网络模式（不推荐，有安全隐患）

启动容器时使用 --network host。此时容器与宿主机共享网络栈，容器内访问 localhost:3306 就是访问宿主机。

• 缺点：容器失去了网络隔离性，容器内应用可以直接监听宿主机端口，存在安全风险，通常不推荐用于生产环境。

二、 安全防护配置（如何保证安全？）

仅仅连通是不够的，必须确保宿主机服务不暴露给外界，且只有特定容器可以访问。

1. 限制宿主机服务的监听地址（Binding IP）

绝对不要让宿主机上的数据库监听 0.0.0.0（所有网络接口）。

• 错误做法：bind-address = 0.0.0.0（这会将数据库暴露给公网）。
• 正确做法：让数据库只监听 Docker 网桥的 IP（如 172.17.0.1）和 127.0.0.1。
  • 例如，在 MySQL 的 my.cnf 中设置：
    plaintext

    bind-address = 127.0.0.1,172.17.0.1

    (注：部分旧版本数据库只支持绑定单个 IP，如果是这样，可以考虑绑定 0.0.0.0 但必须配合下方第 2 步的防火墙)。

2. 使用防火墙（UFW / iptables）进行访问控制

即使数据库监听了 0.0.0.0，也可以通过宿主机防火墙限制，只允许来自 Docker 容器网段的流量访问该端口。

例如，假设 Docker 容器网段是 172.17.0.0/16，数据库端口是 3306：

• 使用 UFW (Ubuntu/Debian):
  bash

  # 允许来自 Docker 网段的流量访问 3306 端口
  sudo ufw allow from 172.17.0.0/16 to any port 3306 proto tcp
  # 拒绝其他所有外部 IP 访问 3306 端口
  sudo ufw deny 3306/tcp

• 使用 iptables:
  bash

  iptables -A INPUT -p tcp -s 172.17.0.0/16 --dport 3306 -j ACCEPT
  iptables -A INPUT -p tcp --dport 3306 -j DROP

3. 数据库账户权限最小化（Principle of Least Privilege）

不要在容器中使用 root 账户连接数据库。应该为容器创建专属的数据库用户，并限制其登录主机来源。

以 MySQL 为例，创建一个只允许从 Docker 网段登录的用户：

-- 限制该用户只能从 172.17.0.X 网段登录，且只能操作特定数据库
CREATE USER 'app_user'@'172.17.%.%' IDENTIFIED BY 'Strong_Password_Here';
GRANT SELECT, INSERT, UPDATE, DELETE ON my_database.* TO 'app_user'@'172.17.%.%';
FLUSH PRIVILEGES;

4. 传输加密 (TLS/SSL)

如果容器与宿主机运行在同一个物理机上，流量默认只在本地虚拟网桥中流转，安全性较高。但如果为了更高的合规性（如 PCI-DSS），可以开启数据库的 SSL/TLS 支持，让容器通过 ldaps:// 或 mysqls:// 加密连接宿主机。

总结：最佳实践步骤

1. 修改宿主机数据库配置：绑定 bind-address = 172.17.0.1（Docker 网桥网关）。
2. 创建专用数据库用户：限制允许登录的 IP 范围为 172.%.%.%。
3. 启动容器：在 docker-compose 中加入 extra_hosts 映射 host.docker.internal。
4. 配置应用：容器内应用连接 host.docker.internal:端口。
5. 开启防火墙：确保外部公网无法访问该数据库端口。