如何在没有端口映射的情况下将 docker 容器的 ip 和端口暴露给外部 docker 主机？

在Docker中，如果不通过端口映射（即-p标志）将容器的端口暴露出去，还可以通过以下几种方式让容器的服务能够被外部访问：

1. 使用Host网络模式

当你使用host网络模式运行容器时，容器将不会拥有自己的IP地址，而是直接使用宿主机的网络。这意味着容器的网络接口将和宿主机的网络接口一样。这样，容器中的应用可以直接使用宿主机的IP地址和端口，而无需进行端口映射。

例如，运行一个Web服务器容器在宿主机的网络模式下：

bash
docker run --network host -d nginx

这样，如果宿主机的IP地址是192.168.1.5，那么在浏览器输入 http://192.168.1.5 将可以直接访问到运行在容器中的nginx服务器。

2. 使用MacVLAN网络

MacVLAN网络允许容器具有独立的MAC地址，并且可以直接连接到物理网络。使用MacVLAN，容器将像物理机一样在网络上具有自己的IP地址，从而可以被网络上的其他设备直接访问。

首先，创建一个MacVLAN网络：

bash
docker network create -d macvlan \
  --subnet=192.168.1.0/24 \
  --gateway=192.168.1.1 \
  -o parent=eth0 pub_net

然后，运行容器并连接到刚刚创建的网络：

bash
docker run --network pub_net -d nginx

这种方式下，容器将获得192.168.1.0/24网段中的一个可用IP，可以被同一网络中的其他设备直接访问。

3. 使用路由和防火墙规则

如果以上方法不适合您的环境，也可以通过在宿主机上设置路由和防火墙规则来实现。这通常涉及到在宿主机上配置NAT（网络地址转换）和IP转发规则。

首先，确保宿主机的IP转发被启用：

bash
sysctl -w net.ipv4.ip_forward=1

然后，可以使用iptables添加NAT规则，将请求转发到容器：

bash
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination <容器IP>:80
iptables -t nat -A POSTROUTING -j MASQUERADE

以上命令将所有到宿主机80端口的TCP请求转发到容器的80端口。

总结

以上方法各有优缺点。Host网络模式简单但和宿主机共享网络环境，MacVLAN提供了更好的隔离但配置相对复杂，而使用路由和防火墙规则提供了最大的灵活性但需要较深的网络知识。根据您的具体需求和环境选择最合适的方法。