在Dockur Windows容器中实现IIS端口转发的解决方案

背景介绍

Dockur Windows项目是一个允许在容器中运行Windows系统的开源项目。在实际部署中，用户经常需要将容器内的服务端口映射到宿主机上，以便外部访问。本文针对在Dockur Windows容器中配置IIS服务端口转发时遇到的典型问题进行分析，并提供完整的解决方案。

问题现象

用户在Dockur Windows容器中安装了IIS服务，默认监听80端口。通过Docker compose配置将容器80端口映射到宿主机的8080端口后，访问http://宿主机IP:8080/时却显示Windows桌面界面，而非预期的IIS默认页面。

原因分析

经过深入排查，发现该问题涉及多个层面的配置因素：

1. 端口冲突问题：Windows桌面远程管理服务可能占用了部分端口，导致端口映射未按预期工作。

2. 网络模式限制：默认的Docker网络模式可能存在端口转发限制。

3. 系统内核模块缺失：最关键的原因是宿主机Linux系统未加载必要的iptables内核模块，导致端口转发规则无法生效。

解决方案

方案一：修改IIS监听端口

最简单的解决方案是修改IIS服务的监听端口：

1. 在Windows容器内将IIS服务改为监听非标准端口（如8080）
2. 在Docker compose中配置端口映射：

ports:
  - 8080:8080

方案二：使用macvlan网络模式

对于需要固定IP地址的场景，可以采用macvlan网络模式：

1. 创建macvlan网络：

docker network create -d macvlan \
    --subnet=10.0.10.0/24 \
    --gateway=10.0.10.1 \
    --ip-range=10.0.10.0/24 \
    -o parent=eno1 vlan

2. 在compose文件中配置：

services:
  insos:
    networks:
      vlan:
        ipv4_address: 10.0.10.61
networks:
  vlan:
    external: true

方案三：确保iptables模块加载（最终解决方案）

最根本的解决方案是确保宿主机加载了必要的iptables内核模块：

1. 创建配置文件/etc/modules-load.d/my.conf
2. 添加以下内容：

ip_tables
iptable_nat

3. 重启系统使配置生效

最佳实践建议

1. 防火墙配置：确保Windows容器内的防火墙已正确配置，允许外部访问所需端口。

2. 服务验证：在容器内部先测试服务是否正常运行（使用localhost访问）。

3. 网络模式选择：根据实际需求选择合适的Docker网络模式，简单场景使用默认端口映射，复杂网络需求考虑macvlan或DHCP模式。

4. 日志检查：遇到问题时，首先检查Docker日志和Windows系统日志，获取更多错误信息。

总结

在Dockur Windows容器中部署IIS服务时，端口转发问题通常与宿主机网络配置密切相关。通过确保iptables相关内核模块正确加载，配合适当的Docker网络配置，可以可靠地实现服务端口的外部访问。本文提供的多种解决方案可根据不同场景灵活应用，帮助用户快速搭建可用的Windows容器服务环境。