コンテナのポートをホストに割り当て¶

このセクションでは、 Docker のデフォルト・ブリッジ内にあるコンテナに対して、ポートを割り当てる方法を説明します。このネットワークは bridge という名称の bridge ネットワークであり、Docker インストール時に自動的に作成されるものです。

デフォルトの Docker コンテナは外の世界と通信できますが、外の世界はコンテナに接続できません。外に対するそれぞれの接続は、ホストマシン上が持つ自身の IP アドレスから行われているように見えます。これはホストマシン上の iptables マスカレーディング機能によるルールであり、Docker サーバ起動時に自動的に作成されます。

$ sudo iptables -t nat -L -n
...
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  172.17.0.0/16       0.0.0.0/0
...

Docker サーバが作成するマスカレード・ルールは、外の世界からコンテナに IP アドレスで接続できるようにします。

もしもコンテナが内側への（incoming）接続を受け付けたいのであれば、 docker run を呼び出すときに特別なオプションの指定が必要です。

まずは、 docker run で -P か --publish-all=true|false を指定します。これは全体的なオプションであり、イメージの Dockerfile 内で EXPOSE 命令で各ポートを指定するか、あるいは、コマンドラインで --expose <ポート> フラグを使って指定します。いずれかを使い、ホスト上の エフェメラル・ポート範囲内（ephemeral port range） にあるポートに割り当てられます。以後、どのポートに割り当てられているか調べるには docker port コマンドを使います。エフェメラル・ポート範囲とは、カーネル・パラメータの /proc/sys/net/ipv4/ip_local_port_range で指定されており、典型的な範囲は 32768 ～ 61000 です。

割り当て（マッピング）を明示するには、 -p 指定 か --publish=指定 オプションを使います。これは、Docker サーバのどのポートを使うか明示するものであり、ポートの指定が無ければ、エフェメラル・ポート範囲から割り当てられます。この指定を使い、コンテナの任意のポートに割り当て可能です。

どちらにしろ、Docker がネットワーク・スタックでどのような処理を行っているのか、NAT テーブルを例に垣間見ることができます。

# What your NAT rules might look like when Docker
# is finished setting up a -P forward:

$ iptables -t nat -L -n
...
Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:49153 to:172.17.0.2:80

# What your NAT rules might look like when Docker
# is finished setting up a -p 80:80 forward:

Chain DOCKER (2 references)
target     prot opt source               destination
DNAT       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:80 to:172.17.0.2:80

Docker はこれらコンテナ側のポートを 0.0.0.0 、つまりワイルドカード IP アドレスで公開しているのが分かります。これはホストマシン上に到達可能な全ての IP アドレスが対象です。制限を加えたい場合や、ホストマシン上の特定の外部インターフェースを通してのみコンテナのサービスへ接続したい場合は、２つの選択肢があります。 docker run の実行時、 -p IP:ホスト側ポート:コンテナ側ポート か -p IP::ポート を指定し、特定の外部インターフェースをバインドする指定ができます。

あるいは、Docker のポート転送を常に特定の IP アドレスに割り当てたい場合には、システム全体の Docker サーバ設定ファイルを編集し、 --ip=IP_ADDRESS オプションを使います。編集内容が有効になるのは、Docker サーバの再起動後なのでご注意ください。

--userland-proxy パラメータは、デフォルトでは true （有効）であり、コンテナ内部とコンテナ外からの通信を可能にするユーザ領域を提供します。無効化すると、Docker はどちらの通信に対しても MASQUERADE iptables ルールを追加し、 net.ipv4.route_localnet カーネル・パラメータを使い、ホストマシンがローカルのコンテナが公開しているポートに対し、通常はループバック・アドレスを用いて通信します。どちらを選ぶかは、性能を根拠として選びます。