发布的端口外部访问不通

宿主本机通、外部不通的三层排查：发布绑定地址（127.0.0.1）→ 宿主防火墙（含 DOCKER-USER 链）→ 云安全组。

第一层	docker port 看实际绑定地址
第二层	iptables DOCKER-USER / firewalld
第三层	云平台安全组与上游网络 ACL

示例

docker port web
ss -ltnp | grep -E '8080|80'
sudo iptables -L DOCKER-USER -n --line-numbers
curl -v --connect-timeout 3 http://127.0.0.1:8080

快速区分：绑定 127.0.0.1 的端口从外部必不通，属设计行为而非故障。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌