跳到主要内容

Docker端口转发RST排查：Hyper-V端口冲突

· 阅读需 6 分钟
RibomBalt
RibomBalt
CTF enthusiastist, GeoPhysics PhD, Amateur coder

TL;DR;​

  • 在 Windows Docker Desktop 中，通过端口转发（如 -p 50022:80）访问容器内 HTTP 服务时，客户端收到大量 RST 包，连接被拒绝。
  • 使用 Wireshark 抓包后发现 RST 由宿主机 Windows 发出，且发生在三次握手后立即。
  • 诊断脚本 netsh int ipv4 show excludedportrange protocol=tcp 发现映射的端口（50022、50023）落在 Hyper‑V 预留的排除范围（50000–50059）内。
  • 根本原因是 Windows 的 WinNAT / Hyper‑V 预留了该端口段，Docker 的端口转发进程（docker-proxy）无法成功监听，导致系统返回 RST。
  • 解决方案：更换端口至不在排除列表中的端口（如 8080）即可解决。也可通过重启 WinNAT 后立即映射抢占，但不推荐。

背景​

我使用 Windows 11 + Docker Desktop（基于 Hyper‑V 后端）运行容器。容器内部运行 HTTP 服务，通过端口映射暴露到宿主机：

docker run -p 50022:80 my-web-app

从 Windows 本机用浏览器或 curl 访问 http://localhost:50022 时，请求频繁失败，Wireshark 中观察到大量 RST 包。同一套容器在 Linux 环境下正常，初步怀疑是 Windows 特有的网络问题。

设备信息、诊断​

环境信息​

  • 系统：Windows 11 专业版 23H2
  • Docker Desktop：4.30.0（基于 Hyper‑V 后端）
  • 容器：Nginx HTTP 服务，映射端口 50022 和 50023

抓包分析​

在 Wireshark 中设置过滤条件：

tcp.port == 50022 and tcp.flags.reset == 1

抓包结果如下：

[SYN] → 
← [SYN, ACK]
[ACK] → 
← [RST]   ← 连接刚建立就被 RST

RST 包的源 IP 为 127.0.0.1（宿主机），目标端口为 50022。这表明 Windows 本机主动拒绝了连接，且发生在三次握手之后、任何数据发送之前。典型原因：端口被占用或系统阻止监听。

检查端口占用​

使用 netstat 查看端口占用情况：

netstat -ano | findstr :50022

输出为空，说明没有其他进程监听该端口。排除普通端口占用。

检查 Hyper‑V 端口排除范围​

关键一步：检查 Windows 为 Hyper‑V / WinNAT 预留的端口排除列表。在管理员 PowerShell 中执行：

netsh int ipv4 show excludedportrange protocol=tcp

输出如下：

Protocol tcp Port Exclusion Ranges

Start Port    End Port
----------    --------
      2869         2869
      5357         5357
     10243        10243
     26762        26762
     50000        50059 *
     52885        52984
     59613        59712
     59713        59812
     59813        59912
     59913        60012
     60013        60112
     60113        60212
     60213        60312

* - Administered port exclusions.

关键发现：端口 50022 和 50023 恰好落在 50000 – 50059 这个管理员排除范围内（带 * 号）。这意味着 Windows 已经将这些端口预留给 Hyper‑V 的内部虚拟机交换网络使用，Docker 的端口转发进程（docker-proxy）在尝试监听 0.0.0.0:50022 时，系统直接拒绝并返回 RST。

其他排查（已排除）​

  • 直接访问容器 IP（docker inspect 容器名 | findstr IPAddress，然后 curl http://容器IP:80）—— 正常，说明容器内服务没问题。
  • 使用 WSL2 后端时同样测试——与 Hyper‑V 后端表现一致。
  • 关闭 Windows Defender 防火墙——问题依旧。

问题原因​

Docker Desktop 在 Windows 上使用 Hyper‑V 虚拟化技术，Hyper‑V 会通过 WinNAT 预留一段端口范围（通常为 50000–50059 或相邻范围）用于内部虚拟网络的端口转发。如果你的 Docker 容器映射到的端口正好落在这个排除范围内，则 docker-proxy 无法绑定成功，导致任何到该端口的 TCP 连接都立即被 RST。

该排除范围由系统自动管理（带 * 号），无法通过普通 netsh 命令修改，且 不受 docker run -p 参数的影响——Docker 本身并不会避开这些端口。

解决方案​

方案一：更换端口（推荐，最简单）​

不要使用排除列表中的端口。推荐使用 1024–49151 之间且不在排除列表中的端口，例如：

docker run -p 8080:80 my-web-app

验证：

curl http://localhost:8080

问题解决，不再出现 RST。

方案二：重启 WinNAT 后立即抢占端口（临时）​

如果想继续使用 50022/50023，可以尝试在重启 WinNAT 服务后立即启动容器，让 Docker 先于系统保留该端口：

net stop winnat
# 立即启动容器（此时排除范围被临时释放）
docker run -p 50022:80 my-web-app
net start winnat

风险：下次系统重启或 winnat 重启后，排除范围会重新生效，导致端口再次冲突。此外，抢占行为可能干扰 Hyper‑V 的正常工作。不推荐用于生产或长期使用。

方案三：修改排除范围（复杂，不推荐）​

理论上可以通过修改注册表或使用 netsh int ipv4 add excludedportrange 调整排除范围，但需要熟悉 Hyper‑V 内部机制，且操作不当可能导致系统网络异常。一般用户不建议尝试。

验证与总结​

替换端口后，再次抓包：

tcp.port == 8080 and tcp.flags.reset == 1

无任何 RST 包。HTTP 请求正常响应。

核心结论：使用 Docker Desktop for Windows 时，避免将容器端口映射到 netsh int ipv4 show excludedportrange 列出的排除范围内。若发现 RST 问题，优先执行该诊断命令确认。最佳实践是选用 1024–49151 之间、未被排除的随机端口。

附录：快速诊断脚本​

将以下内容保存为 check-docker-rst.ps1，以管理员身份运行：

param(
    [int[]]$Ports = @(50022, 50023)  # 更改为你的映射端口
)

Write-Host "=== 步骤1: 检查端口排除范围 ==="
netsh int ipv4 show excludedportrange protocol=tcp | Out-String | Write-Host

Write-Host "=== 步骤2: 检查端口是否在排除范围内 ==="
$excluded = netsh int ipv4 show excludedportrange protocol=tcp | Select-String -Pattern "^\s+(\d+)\s+(\d+)" | ForEach-Object {
    $start = $_.Matches.Groups[1].Value -as [int]
    $end = $_.Matches.Groups[2].Value -as [int]
    [PSCustomObject]@{ Start = $start; End = $end }
}
foreach ($port in $Ports) {
    $match = $excluded | Where-Object { $port -ge $_.Start -and $port -le $_.End }
    if ($match) {
        Write-Host "  ⚠️  端口 $port 在排除范围 $($match.Start)-$($match.End) 内！"
    } else {
        Write-Host "  ✅ 端口 $port 不在排除范围内。"
    }
}

Write-Host "=== 步骤3: 建议使用的端口（不在排除范围且 > 1024）==="
$safePorts = 1024..49151 | Where-Object {
    -not ($excluded | Where-Object { $_ -le $_.End -and $_ -ge $_.Start })
} | Select-Object -First 5
Write-Host "  推荐端口: $($safePorts -join ', ')"

运行即可快速确认端口冲突并获取可用端口。