Внешний порт Docker подключается к null в контейнере.

Вопрос или проблема

    "NetworkSettings": {
        "Bridge": "",
         ......
        "Ports": {
            "9000/tcp": null
        },

.

Ответ или решение

Ваша ситуация связана с инспекцией сетевых настроек Docker-контейнера, в частности с параметрами портов, указанными в выводе команды docker inspect. Когда вы видите, что порт вашего контейнера, такой как "9000/tcp", имеет значение null, это означает, что данный порт внутри контейнера не опубликован на внешние интерфейсы хостовой машины. Давайте разберемся, что это значит, как это работает и в каких случаях это может быть полезно.

Теория

Docker — это инструмент контейнеризации, который позволяет запускать приложения в изолированном окружении. Одним из ключевых аспектов контейнеризации является сетевое соединение. Сетевые настройки Docker позволяют подключать контейнеры как к локальной сети хостовой машины, так и к внешней сети.

Когда вы запускаете контейнер, у Docker есть несколько сетевых режимов, таких как bridge, host, overlay и другие. В режиме bridge, который используется по умолчанию, Docker создает виртуальную подсеть для контейнеров. Порты внутри контейнера (например, 9000/tcp) не будут доступны внешнему миру, пока вы явно не откроете их на хосте.

Параметр "Ports": { "9000/tcp": null } в выводе docker inspect указывает на то, что данный порт не проброшен (порт не опубликован). Значение null означает, что порт контейнера никак не сопоставлен (или не "связан") с портом на хостовой машине. Таким образом, доступ к порту 9000 внутри контейнера будет только изнутри контейнера или с других контейнеров в той же виртуальной сети.

Пример и объяснение

Рассмотрим простой пример. Вы запускаете контейнер с помощью команды:

docker run -d my_image

В этом случае контейнер запускается в режиме по умолчанию (bridge), и в нем могут быть открыты определенные порты, например 9000. Однако, пока вы не укажете явно, эти порты не будут доступны извне.

Теперь, если вы посмотрите docker inspect <container_id>, вы увидите что-то вроде:

"NetworkSettings": {
    "Ports": {
        "9000/tcp": null
    }
}

Это говорит о том, что порт 9000 внутри контейнера доступен только локально, и вы не сможете подключиться к этому порту извне, например через браузер или curl на вашей хостовой машине.

Чтобы порт был доступен извне, вам нужно пробросить его с помощью флага -p при запуске контейнера. Команда будет выглядеть так:

docker run -d -p 9000:9000 my_image

Это создаст маппинг порта 9000 вашей хостовой машины на порт 9000 в контейнере. Теперь, если вы снова выполнили docker inspect, вы могли бы увидеть:

"NetworkSettings": {
    "Ports": {
        "9000/tcp": [
            {
                "HostIp": "0.0.0.0",
                "HostPort": "9000"
            }
        ]
    }
}

Этот маппинг позволяет любому клиенту подключаться к хостовой машине, используя IP-адрес хоста и указанный порт.

Применение

Не публиковать порты — это полезная практика для повышения безопасности и ограничения доступа. В ситуациях, когда контейнер не требует внешнего доступа — например, он является частью микросервисной архитектуры, где общение идет исключительно между контейнерами — проброс портов может быть излишним и даже накладывать потенциальные риски безопасности.

Вы можете использовать эту практику:

1. Безопасность: Если вам не нужно, чтобы контейнер был доступен извне (например, контейнерный бэкенд для внутренней системы), вы можете избежать проброса портов, оставив их null.

2. Производительность: Минимизация сетевых маппингов может улучшить производительность сетевого взаимодействия, особенно при интенсивных нагрузках.

3. Изолированность: Если ваш контейнер служит частью более крупной системы, взаимодействуя только с другими контейнерами, такой подход обеспечивает лучшую изоляцию и защиту внутренней логики от нежелательного внешнего доступа.

Итак, понимание значения null в контексте портов помогает планировать инфраструктуру контейнеров, минимизировать риски безопасности и оптимизировать управление сетью. Это важный компонент, который должен быть частью любого обсуждения о проектировании контейнерных систем в современной ИТ-среде.