Docker默认网络NAT映射的分配与过滤行为技术分析

一、问题提出

1. 核心问题

Docker容器网络使用NAT（网络地址转换）实现容器与外部网络的通信。在实际应用场景中，特别是在WebRTC等P2P通信场景中，了解NAT的具体类型对于穿透策略的选择至关重要。

2. 研究目标

通过实验验证方式，确定Docker默认网络NAT的具体类型，包括：

  • 端口分配行为：NAT如何为内部主机分配外部端口
  • 过滤行为：NAT如何处理和过滤入站数据包

3. 研究意义

  • 为Docker容器的网络通信提供理论依据
  • 为NAT穿透策略的制定提供参考
  • 帮助开发者理解容器网络的底层机制

二、NAT类型分类概述

1. 传统分类（RFC 3489）

RFC 3489将NAT分为四种传统类型：

  • 全锥形NAT（Full Cone NAT）
  • 受限锥形NAT（Restricted Cone NAT）
  • 端口受限锥形NAT（Port Restricted Cone NAT）
  • 对称NAT（Symmetric NAT）

2. 基于行为的分类（RFC 4787）

RFC 4787提出了更科学的分类方法，从两个维度描述NAT行为：

A. 端口分配行为

  • Endpoint-Independent Mapping：端点无关映射
  • Address-Dependent Mapping：地址依赖映射
  • Address and Port-Dependent Mapping：地址和端口依赖映射

B. 过滤行为

  • Endpoint-Independent Filtering：端点无关过滤
  • Address-Dependent Filtering：地址依赖过滤
  • Address and Port-Dependent Filtering：地址和端口依赖过滤

三、实验环境设计

1. 网络拓扑

实验环境由两台主机组成，拓扑结构如下：

graph TB
    subgraph Host124["主机 192.168.0.124"]
        Docker0[docker0 虚拟网桥<br/>172.17.0.1]
        Container1[client1 容器<br/>172.17.0.5<br/>nat-hole-puncher]
        Docker0 --> Container1
    end

    subgraph Host125["主机 192.168.0.125"]
        UDP1[udp-client-addr-display<br/>监听 6000/6001]
        NC[nc 工具<br/>源端口 6000/6001/6002]
    end

    Container1 -->|UDP 出站| UDP1
    NC -->|UDP 入站| Docker0
    Docker0 -->|转发| Container1

实验网络拓扑图

2. 组件说明

  • 主机124：运行Docker容器，容器内运行nat-hole-puncher程序
  • 主机125：运行udp-client-addr-display程序和nc工具
  • NAT设备：主机124上的Docker默认NAT

3. 测试工具

  • nat-hole-puncher：Docker容器内的UDP打洞程序
  • udp-client-addr-display：显示客户端地址的服务程序
  • nc（netcat）：网络测试工具

四、实验程序实现

1. 交互流程

三个组件的交互流程设计如下：

sequenceDiagram
    participant Puncher as nat-hole-puncher<br/>(容器内)
    participant Display as udp-client-addr-display<br/>(主机125)
    participant NC as nc 工具<br/>(主机125)

    Puncher->>Display: 发送UDP到 6000端口
    Display-->>Puncher: 返回NAT映射地址<br/>192.168.0.124:5000
    Puncher->>Display: 发送UDP到 6001端口

    Note over Display: 获取NAT映射后的源地址

    NC->>Puncher: 从 6000 端口发送UDP
    Puncher-->>NC: 接收成功
    NC->>Puncher: 从 6001 端口发送UDP
    Puncher-->>NC: 接收成功
    NC->>Puncher: 从 6002 端口发送UDP
    Note over Puncher,NC: 数据包被NAT过滤丢弃

NAT打洞验证流程图

2. nat-hole-puncher程序

该程序的主要功能：

  1. 从指定本地地址向目标地址发送UDP数据包
  2. 在NAT上创建映射关系（打洞）
  3. 监听本地端口，接收入站UDP数据包

核心实现逻辑：

  • 使用net.DialUDP建立UDP连接
  • 向目标IP的连续两个端口发送数据包
  • 使用net.ListenUDP监听本地端口

3. udp-client-addr-display程序

该程序的主要功能：

  1. 同时监听两个连续的UDP端口
  2. 接收UDP数据包
  3. 显示发送端的IP地址和端口

核心实现逻辑：

  • 使用sync.WaitGroup并发启动两个监听协程
  • 每个协程监听一个UDP端口
  • 使用ReadFromUDP接收数据并显示客户端地址

五、实验步骤与结果

1. 端口分配行为验证

实验步骤

在主机124的容器中执行：

docker exec client1 /app/nat-hole-puncher 172.17.0.5 5000 192.168.0.125 6000

程序执行以下操作：

  1. 从172.17.0.5:5000向192.168.0.125:6000发送UDP包
  2. 从172.17.0.5:5000向192.168.0.125:6001发送UDP包

观察结果

主机125上的udp-client-addr-display输出：

Received message: Hello, World! from 192.168.0.124:5000
Received message: Hello, World! from 192.168.0.124:5000

进阶验证

为了确认是否为Address-Dependent Mapping，使用不同的目标IP进行测试：

向192.168.0.125发送：

docker exec client1 /app/nat-hole-puncher 172.17.0.5 5000 192.168.0.125 6000

向192.168.0.126发送：

docker exec client1 /app/nat-hole-puncher 172.17.0.4 5000 192.168.0.126 7000

两台主机的输出均显示NAT映射后的地址为192.168.0.124:5000。

结论

端口分配行为：Endpoint-Independent Mapping

无论目标IP和端口如何变化，只要源IP和端口相同，NAT就会分配相同的外部端口。

2. 过滤行为验证

实验步骤

在主机125上使用nc工具向NAT映射地址发送UDP包：

# 从6000端口发送
echo "hello from 192.168.0.125:6000" | nc -u -p 6000 -v 192.168.0.124 5000

# 从6001端口发送
echo "hello from 192.168.0.125:6001" | nc -u -p 6001 -v 192.168.0.124 5000

# 从6002端口发送
echo "hello from 192.168.0.125:6002" | nc -u -p 6002 -v 192.168.0.124 5000

观察结果

容器内nat-hole-puncher程序的输出：

Received message: hello from 192.168.0.125:6000 from 192.168.0.125:6000
Received message: hello from 192.168.0.125:6001 from 192.168.0.125:6001

从6002端口发送的包未被接收，被NAT过滤丢弃。

结论

过滤行为：Address and Port-Dependent Filtering

只有之前通信过的特定IP和端口组合才能成功穿透NAT发送数据包到内部网络。

六、综合分析

1. NAT类型判定

根据RFC 4787的行为分类：

行为维度Docker默认网络NAT类型
端口分配行为Endpoint-Independent Mapping
过滤行为Address and Port-Dependent Filtering

2. 传统类型对应

按照RFC 3489的传统NAT分类：

Docker默认网络的NAT属于端口受限锥形

端口受限锥形NAT的特征：

  • 映射关系：内部IP:端口到外部IP:端口的映射是固定的
  • 过滤规则：只有外部主机从之前通信过的端口发送的数据包才能通过

3. 实践建议

对于实际应用中的NAT类型检测，可以使用成熟工具如pystun3：

docker run -it python:3-alpine /bin/sh
pip install pystun3
pystun3

需要注意的是，此类工具的检测结果通常是多层NAT的综合结果，而非单一Docker NAT的行为。

七、技术要点总结

1. Docker NAT工作原理

Docker默认网络通过以下机制实现NAT：

  1. 创建虚拟网桥docker0
  2. 为容器分配内部IP地址（172.17.0.0/16网段）
  3. 使用iptables规则配置SNAT
  4. 将内部IP和端口转换为主机IP和随机端口

2. 关键发现

  • 端口分配的独立性：同一内部地址映射到固定的外部端口
  • 过滤的严格性：必须同时匹配IP和端口才能通过
  • 与对称NAT的区别：对称NAT会为不同目标分配不同端口

3. 对P2P应用的影响

对于WebRTC等P2P通信应用：

  • Docker容器内的应用可以进行NAT穿透
  • 需要使用STUN服务器获取公网地址
  • 穿透策略应考虑Address and Port-Dependent Filtering的限制
  • 可能需要使用TURN中继服务作为备选方案

参考资料

  1. 探索Docker默认网络NAT映射的分配与过滤行为
  2. RFC 3489 - STUN
  3. RFC 4787 - NAT Behavioral Requirements
  4. pystun3 - Python STUN Client
最后修改：2026 年 01 月 18 日
© 允许规范转载
如果觉得我的文章对你有用，请随意赞赏