Docker默认网络NAT映射的分配与过滤行为技术分析

博主： admin
发布时间：2026 年 01 月 18 日
36 次浏览
暂无评论
5327字数
分类： Docker NAT 网络技术技术文档技术分析

# Docker默认网络NAT映射的分配与过滤行为技术分析

# 一、问题提出

## 1. 核心问题
Docker容器网络使用NAT（网络地址转换）实现容器与外部网络的通信。在实际应用场景中，特别是在WebRTC等P2P通信场景中，了解NAT的具体类型对于穿透策略的选择至关重要。

## 2. 研究目标
通过实验验证方式，确定Docker默认网络NAT的具体类型，包括：
- 端口分配行为：NAT如何为内部主机分配外部端口
- 过滤行为：NAT如何处理和过滤入站数据包

## 3. 研究意义
- 为Docker容器的网络通信提供理论依据
- 为NAT穿透策略的制定提供参考
- 帮助开发者理解容器网络的底层机制

# 二、NAT类型分类概述

## 1. 传统分类（RFC 3489）
RFC 3489将NAT分为四种传统类型：
- 全锥形NAT（Full Cone NAT）
- 受限锥形NAT（Restricted Cone NAT）
- 端口受限锥形NAT（Port Restricted Cone NAT）
- 对称NAT（Symmetric NAT）

## 2. 基于行为的分类（RFC 4787）
RFC 4787提出了更科学的分类方法，从两个维度描述NAT行为：

### A. 端口分配行为
- Endpoint-Independent Mapping：端点无关映射
- Address-Dependent Mapping：地址依赖映射
- Address and Port-Dependent Mapping：地址和端口依赖映射

### B. 过滤行为
- Endpoint-Independent Filtering：端点无关过滤
- Address-Dependent Filtering：地址依赖过滤
- Address and Port-Dependent Filtering：地址和端口依赖过滤

# 三、实验环境设计

## 1. 网络拓扑

实验环境由两台主机组成，拓扑结构如下：

```mermaid
graph TB
 subgraph Host124["主机 192.168.0.124"]
 Docker0[docker0 虚拟网桥 172.17.0.1]
 Container1[client1 容器 172.17.0.5 nat-hole-puncher]
 Docker0 --> Container1
 end

subgraph Host125["主机 192.168.0.125"]
 UDP1[udp-client-addr-display 监听 6000/6001]
 NC[nc 工具 源端口 6000/6001/6002]
 end

![实验网络拓扑图](https://static.op123.ren/static/46/46dd519cdac2d44d.svg)

## 2. 组件说明
- 主机124：运行Docker容器，容器内运行nat-hole-puncher程序
- 主机125：运行udp-client-addr-display程序和nc工具
- NAT设备：主机124上的Docker默认NAT

## 3. 测试工具
- nat-hole-puncher：Docker容器内的UDP打洞程序
- udp-client-addr-display：显示客户端地址的服务程序
- nc（netcat）：网络测试工具

# 四、实验程序实现

## 1. 交互流程

三个组件的交互流程设计如下：

```mermaid
sequenceDiagram
 participant Puncher as nat-hole-puncher (容器内)
 participant Display as udp-client-addr-display (主机125)
 participant NC as nc 工具 (主机125)

Puncher->>Display: 发送UDP到 6000端口
 Display-->>Puncher: 返回NAT映射地址 192.168.0.124:5000
 Puncher->>Display: 发送UDP到 6001端口

Note over Display: 获取NAT映射后的源地址

NC->>Puncher: 从 6000 端口发送UDP
    Puncher-->>NC: 接收成功
    NC->>Puncher: 从 6001 端口发送UDP
    Puncher-->>NC: 接收成功
    NC->>Puncher: 从 6002 端口发送UDP
    Note over Puncher,NC: 数据包被NAT过滤丢弃
```

![NAT打洞验证流程图](https://static.op123.ren/static/3d/3d9409a81764b9df.svg)

## 2. nat-hole-puncher程序

该程序的主要功能：
1. 从指定本地地址向目标地址发送UDP数据包
2. 在NAT上创建映射关系（打洞）
3. 监听本地端口，接收入站UDP数据包

核心实现逻辑：
- 使用net.DialUDP建立UDP连接
- 向目标IP的连续两个端口发送数据包
- 使用net.ListenUDP监听本地端口

## 3. udp-client-addr-display程序

该程序的主要功能：
1. 同时监听两个连续的UDP端口
2. 接收UDP数据包
3. 显示发送端的IP地址和端口

核心实现逻辑：
- 使用sync.WaitGroup并发启动两个监听协程
- 每个协程监听一个UDP端口
- 使用ReadFromUDP接收数据并显示客户端地址

# 五、实验步骤与结果

## 1. 端口分配行为验证

### 实验步骤
在主机124的容器中执行：
```bash
docker exec client1 /app/nat-hole-puncher 172.17.0.5 5000 192.168.0.125 6000
```

程序执行以下操作：
1. 从172.17.0.5:5000向192.168.0.125:6000发送UDP包
2. 从172.17.0.5:5000向192.168.0.125:6001发送UDP包

### 观察结果
主机125上的udp-client-addr-display输出：
```
Received message: Hello, World! from 192.168.0.124:5000
Received message: Hello, World! from 192.168.0.124:5000
```

### 进阶验证
为了确认是否为Address-Dependent Mapping，使用不同的目标IP进行测试：

向192.168.0.125发送：
```bash
docker exec client1 /app/nat-hole-puncher 172.17.0.5 5000 192.168.0.125 6000
```

向192.168.0.126发送：
```bash
docker exec client1 /app/nat-hole-puncher 172.17.0.4 5000 192.168.0.126 7000
```

两台主机的输出均显示NAT映射后的地址为192.168.0.124:5000。

### 结论
**端口分配行为：Endpoint-Independent Mapping**

无论目标IP和端口如何变化，只要源IP和端口相同，NAT就会分配相同的外部端口。

## 2. 过滤行为验证

### 实验步骤
在主机125上使用nc工具向NAT映射地址发送UDP包：

```bash
# 从6000端口发送
echo "hello from 192.168.0.125:6000" | nc -u -p 6000 -v 192.168.0.124 5000

# 从6001端口发送
echo "hello from 192.168.0.125:6001" | nc -u -p 6001 -v 192.168.0.124 5000

# 从6002端口发送
echo "hello from 192.168.0.125:6002" | nc -u -p 6002 -v 192.168.0.124 5000
```

### 观察结果
容器内nat-hole-puncher程序的输出：
```
Received message: hello from 192.168.0.125:6000 from 192.168.0.125:6000
Received message: hello from 192.168.0.125:6001 from 192.168.0.125:6001
```

从6002端口发送的包未被接收，被NAT过滤丢弃。

### 结论
**过滤行为：Address and Port-Dependent Filtering**

只有之前通信过的特定IP和端口组合才能成功穿透NAT发送数据包到内部网络。

# 六、综合分析

## 1. NAT类型判定

根据RFC 4787的行为分类：

| 行为维度 | Docker默认网络NAT类型 |
|---------|---------------------|
| 端口分配行为 | Endpoint-Independent Mapping |
| 过滤行为 | Address and Port-Dependent Filtering |

## 2. 传统类型对应

按照RFC 3489的传统NAT分类：

**Docker默认网络的NAT属于端口受限锥形**

端口受限锥形NAT的特征：
- 映射关系：内部IP:端口到外部IP:端口的映射是固定的
- 过滤规则：只有外部主机从之前通信过的端口发送的数据包才能通过

## 3. 实践建议

对于实际应用中的NAT类型检测，可以使用成熟工具如pystun3：

```bash
docker run -it python:3-alpine /bin/sh
pip install pystun3
pystun3
```

需要注意的是，此类工具的检测结果通常是多层NAT的综合结果，而非单一Docker NAT的行为。

# 七、技术要点总结

## 1. Docker NAT工作原理

Docker默认网络通过以下机制实现NAT：
1. 创建虚拟网桥docker0
2. 为容器分配内部IP地址（172.17.0.0/16网段）
3. 使用iptables规则配置SNAT
4. 将内部IP和端口转换为主机IP和随机端口

## 2. 关键发现

- 端口分配的独立性：同一内部地址映射到固定的外部端口
- 过滤的严格性：必须同时匹配IP和端口才能通过
- 与对称NAT的区别：对称NAT会为不同目标分配不同端口

## 3. 对P2P应用的影响

对于WebRTC等P2P通信应用：
- Docker容器内的应用可以进行NAT穿透
- 需要使用STUN服务器获取公网地址
- 穿透策略应考虑Address and Port-Dependent Filtering的限制
- 可能需要使用TURN中继服务作为备选方案

***

## 参考资料

1. [探索Docker默认网络NAT映射的分配与过滤行为](https://tonybai.com/2024/12/05/exploring-nat-mapping-assignment-and-filtering-behavior-of-docker-default-network)
2. [RFC 3489 - STUN](https://datatracker.ietf.org/doc/html/rfc3489)
3. [RFC 4787 - NAT Behavioral Requirements](https://datatracker.ietf.org/doc/html/rfc4787)
4. [pystun3 - Python STUN Client](https://github.com/talkiq/pystun3)

最后修改：2026 年 01 月 18 日

如果觉得我的文章对你有用，请随意赞赏

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

评论 *

私密评论

名称 *

🎲

邮箱 *

地址

Docker默认网络NAT映射的分配与过滤行为技术分析

admin • 2026 年 01 月 18 日

# Docker默认网络NAT映射的分配与过滤行为技术分析

# 一、问题提出

## 3. 研究意义
- 为Docker容器的网络通信提供理论依据
- 为NAT穿透策略的制定提供参考
- 帮助开发者理解容器网络的底层机制

# 二、NAT类型分类概述

## 2. 基于行为的分类（RFC 4787）
RFC 4787提出了更科学的分类方法，从两个维度描述NAT行为：

### A. 端口分配行为
- Endpoint-Independent Mapping：端点无关映射
- Address-Dependent Mapping：地址依赖映射
- Address and Port-Dependent Mapping：地址和端口依赖映射

### B. 过滤行为
- Endpoint-Independent Filtering：端点无关过滤
- Address-Dependent Filtering：地址依赖过滤
- Address and Port-Dependent Filtering：地址和端口依赖过滤

# 三、实验环境设计

## 1. 网络拓扑

实验环境由两台主机组成，拓扑结构如下：

subgraph Host125["主机 192.168.0.125"]
 UDP1[udp-client-addr-display 监听 6000/6001]
 NC[nc 工具 源端口 6000/6001/6002]
 end

![实验网络拓扑图](https://static.op123.ren/static/46/46dd519cdac2d44d.svg)

## 2. 组件说明
- 主机124：运行Docker容器，容器内运行nat-hole-puncher程序
- 主机125：运行udp-client-addr-display程序和nc工具
- NAT设备：主机124上的Docker默认NAT

## 3. 测试工具
- nat-hole-puncher：Docker容器内的UDP打洞程序
- udp-client-addr-display：显示客户端地址的服务程序
- nc（netcat）：网络测试工具

# 四、实验程序实现

## 1. 交互流程

三个组件的交互流程设计如下：

Puncher->>Display: 发送UDP到 6000端口
 Display-->>Puncher: 返回NAT映射地址 192.168.0.124:5000
 Puncher->>Display: 发送UDP到 6001端口

Note over Display: 获取NAT映射后的源地址

![NAT打洞验证流程图](https://static.op123.ren/static/3d/3d9409a81764b9df.svg)

## 2. nat-hole-puncher程序

该程序的主要功能：
1. 从指定本地地址向目标地址发送UDP数据包
2. 在NAT上创建映射关系（打洞）
3. 监听本地端口，接收入站UDP数据包

核心实现逻辑：
- 使用net.DialUDP建立UDP连接
- 向目标IP的连续两个端口发送数据包
- 使用net.ListenUDP监听本地端口

## 3. udp-client-addr-display程序

该程序的主要功能：
1. 同时监听两个连续的UDP端口
2. 接收UDP数据包
3. 显示发送端的IP地址和端口

核心实现逻辑：
- 使用sync.WaitGroup并发启动两个监听协程
- 每个协程监听一个UDP端口
- 使用ReadFromUDP接收数据并显示客户端地址

# 五、实验步骤与结果

## 1. 端口分配行为验证

### 实验步骤
在主机124的容器中执行：
```bash
docker exec client1 /app/nat-hole-puncher 172.17.0.5 5000 192.168.0.125 6000
```

程序执行以下操作：
1. 从172.17.0.5:5000向192.168.0.125:6000发送UDP包
2. 从172.17.0.5:5000向192.168.0.125:6001发送UDP包

### 观察结果
主机125上的udp-client-addr-display输出：
```
Received message: Hello, World! from 192.168.0.124:5000
Received message: Hello, World! from 192.168.0.124:5000
```

### 进阶验证
为了确认是否为Address-Dependent Mapping，使用不同的目标IP进行测试：

向192.168.0.125发送：
```bash
docker exec client1 /app/nat-hole-puncher 172.17.0.5 5000 192.168.0.125 6000
```

向192.168.0.126发送：
```bash
docker exec client1 /app/nat-hole-puncher 172.17.0.4 5000 192.168.0.126 7000
```

两台主机的输出均显示NAT映射后的地址为192.168.0.124:5000。

### 结论
**端口分配行为：Endpoint-Independent Mapping**

无论目标IP和端口如何变化，只要源IP和端口相同，NAT就会分配相同的外部端口。

## 2. 过滤行为验证

### 实验步骤
在主机125上使用nc工具向NAT映射地址发送UDP包：

```bash
# 从6000端口发送
echo "hello from 192.168.0.125:6000" | nc -u -p 6000 -v 192.168.0.124 5000

# 从6001端口发送
echo "hello from 192.168.0.125:6001" | nc -u -p 6001 -v 192.168.0.124 5000

# 从6002端口发送
echo "hello from 192.168.0.125:6002" | nc -u -p 6002 -v 192.168.0.124 5000
```

从6002端口发送的包未被接收，被NAT过滤丢弃。

### 结论
**过滤行为：Address and Port-Dependent Filtering**

只有之前通信过的特定IP和端口组合才能成功穿透NAT发送数据包到内部网络。

# 六、综合分析

## 1. NAT类型判定

根据RFC 4787的行为分类：

| 行为维度 | Docker默认网络NAT类型 |
|---------|---------------------|
| 端口分配行为 | Endpoint-Independent Mapping |
| 过滤行为 | Address and Port-Dependent Filtering |

## 2. 传统类型对应

按照RFC 3489的传统NAT分类：

**Docker默认网络的NAT属于端口受限锥形**

端口受限锥形NAT的特征：
- 映射关系：内部IP:端口到外部IP:端口的映射是固定的
- 过滤规则：只有外部主机从之前通信过的端口发送的数据包才能通过

## 3. 实践建议

对于实际应用中的NAT类型检测，可以使用成熟工具如pystun3：

```bash
docker run -it python:3-alpine /bin/sh
pip install pystun3
pystun3
```

需要注意的是，此类工具的检测结果通常是多层NAT的综合结果，而非单一Docker NAT的行为。

# 七、技术要点总结

## 1. Docker NAT工作原理

## 2. 关键发现

## 3. 对P2P应用的影响

***

## 参考资料

Docker默认网络NAT映射的分配与过滤行为技术分析

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

搭建国内LabHub

CentOS 7.9 编译并使用rpm方式升级openssh9.6p1（包括后续更新9.8p1等）

一天从 redis 大 key 开始

安装eve-ng

重装ensp

Incus Linux 容器虚拟机管理器技术分析

Anthropic Performance Takehome VLIW SIMD 架构技术分析

websequencediagrams - 在线绘制过程图/原理图

frp

早期硬盘的并口和串口的工作原理及区别主要是什么？

Docker默认网络NAT映射的分配与过滤行为技术分析

发表评论 取消回复 使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

Docker默认网络NAT映射的分配与过滤行为技术分析

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款