容器网络选错模式，轻则容器互访不通，重则端口绕过防火墙直接裸奔公网。这篇讲清 bridge、host、macvlan 三种模式的原理与适用场景，给出 macvlan 独立 IP 的完整配置，并解释 Docker 端口为什么无视 UFW 放行规则，附排查命令清单。
2026-11-11
你以为 UFW 只放行了 22 和 443，结果 docker ps 里所有映射端口从公网都能连——因为 Docker 直接往 iptables 的 nat 表插规则，绕过了 UFW 的过滤链。四种解法、验证方法，以及我实测踩到的坑。
2026-10-10