如何给运行中的容器动态增加端口映射

1.引言

在容器化应用的开发和部署过程中，端口映射（Port Mapping）是一个关键的概念。通常情况下，我们在创建容器时会指定容器内部端口与宿主机端口之间的映射。然而，有时候我们可能需要在容器已经运行的情况下动态地增加端口映射。这在开发调试或需要临时开放新的服务接口时非常有用。

本文将详细介绍如何在不停止容器的前提下，动态增加容器的端口映射。

容器端口映射的基本原理

在Docker 中，容器内部的端口和宿主机的端口是通过端口映射来关联的。通常，我们在启动容器时使用 -p 或 --publish 参数来指定端口映射，如下所示：

上述命令表示将宿主机的 8080 端口映射到容器内部的 80 端口。通过这种方式，外部用户可以通过宿主机的 8080端口访问容器内部运行的 Web 服务。

动态添加端口映射的挑战

一旦容器启动，通常情况下 Docker 不支持动态添加端口映射。也就是说，初始设置的端口映射在容器的生命周期内是固定的。如果要增加新的端口映射，传统的方法是停止容器并重新启动它，这样可能会导致服务中断，这在生产环境中是不可接受的。

2.实现方案

要实现对运行中的容器动态增加端口映射，主要有以下几种方法：

使用 docker network 创建代理容器

可以通过创建一个新的代理容器，将新的端口映射到原有的容器上。具体步骤如下：

首先，创建一个与原容器相同网络的代理容器：

接着，在代理容器上添加你想要的端口映射：

这种方式的优点是可以在不修改原有容器的前提下增加新的端口映射，但缺点是多引入了一个容器实例，并且只适用于部分场景。

使用 iptables 手动添加端口转发规则

通过修改 iptables，可以将宿主机的特定端口请求转发到运行中的Docker容器内部端口。

例如，如果想将宿主机的 8081 端口映射到容器的 81 端口，可以使用以下命令：

其中<container_ip>是你的容器的内部IP地址，可以通过 docker inspect 命令获取。

这种方法的优点是可以完全动态添加端口映射，但操作复杂且需要对 iptables 有一定了解，不建议在生产环境中频繁使用。

使用 socat 创建端口转发

socat 是一个通用的网络工具，它可以在宿主机和容器之间建立端口转发。你可以通过运行以下命令，将宿主机的某个端口转发到容器的指定端口：

这种方法的优势在于无需停止容器，但由于 socat 是一个额外的进程，因此需要注意其性能和稳定性。

当然使用其他端口转发工具也可以达到一样的效果。

使用 Docker Compose 动态更新服务

如果你的应用使用 Docker Compose 管理容器，你可以通过更新 docker-compose.yml 文件并执行 docker-compose up 来添加新的端口映射。此方法的优点是操作简便且管理统一，但每次更新需要重新应用 Compose 文件，可能会导致短暂的服务中断。

强行修改系统中的容器配置文件

首先，直接修改 /var/lib/docker/containers//config.v2.json ，在其添加 HostPort 8081 到 容器 81 端口的映射。注意要修改两处，一处如下，只需要添加 HostPort 8081。

另一处，需要添加完整的映射关系。

此外，也需要修改 /var/lib/docker/containers//hostconfig.json，添加新增的映射。

之后，需要重启 dockerd。

这种方式可以彻底给容器增加端口映射，但同时也有副作用，就是本机的所有容器都因 dockerd 的重启而被迫停止，如果容器没有配置自动启动，那么即使 dockerd 启动后，容器也不会自动启动。

这种方式虽然很彻底，但对正在运行的容器影响太大了，生产环境不推荐使用。

3.总结

动态增加容器的端口映射虽然不是 Docker 原生支持的功能，但通过上述几种方法，可以在一定程度上实现这一需求。每种方法都有其优缺点，开发者可以根据实际场景选择合适的方式。在生产环境中，建议采用代理容器或 Docker Compose 的方法，因为它们的操作相对简单且风险较小。

对于需要频繁更改端口映射的应用，建议在设计初期考虑灵活的网络架构，避免在容器运行期间频繁修改端口映射，以减少对服务的影响。

·END·