自建Docker云手机部署后外网访问不了？本文整理全套排查思路，包含端口映射、防火墙、容器网络、内网穿透等常见问题，快速定位Docker云手机外网连接失败故障。
一、先区分：是内网能访问，还是内网也打不开
第一步先缩小故障范围，这是最容易忽略的点。
- 在宿主机服务器上，用
curl或者浏览器访问宿主机IP+端口。如果宿主机本地都打不开，问题不在外网，而是容器本身端口映射、容器服务没启动。 - 同一局域网其他设备访问服务器IP+端口。内网可以访问，只有外网不行，说明容器内部服务正常，限制来自服务器防火墙、安全组、端口未对公网开放。
内网正常，外网不行，基本就是下面几类问题。
二、Docker端口映射配置错误
很多人启动容器时，docker run的端口参数写错，只做了容器内部端口绑定，没有映射到宿主机0.0.0.0。
错误示例：
-p 127.0.0.1:6080:6080
这个写法代表端口只监听宿主机本地回环地址，只能服务器本机访问，外网和局域网设备一律连不上。
正确写法：
-p 0.0.0.0:6080:6080
0.0.0.0代表监听服务器所有网卡，局域网、外网流量才能转发到Docker容器内的云手机服务。
排查命令
docker ps
看PORTS那一列，确认不是127.0.0.1:端口->容器端口。
三、服务器防火墙/云厂商安全组拦截端口
就算Docker端口映射写对了，服务器系统防火墙、云服务器厂商的安全组，依然会拦截外网入站流量。
- 云服务器（阿里云/腾讯云等）：登录控制台，找到安全组，放行对应的端口（比如6080网页、5555ADB端口），入站规则开放。很多新手只开了系统防火墙，忘记平台安全组，外网直接被拦截。
- 宿主机系统防火墙：Linux常用firewalld、ufw。
#查看防火墙状态
systemctl status firewalld
临时关闭测试，或者添加端口放行规则，测试连通性。测试完成记得重新开启防火墙，不要长期裸机。
四、Docker网络模式问题
Docker默认bridge桥接模式是最常用的。如果改成host网络模式，端口映射参数-p会失效，需要直接使用宿主机端口。
还有一种情况：自定义Docker网络，容器网段和宿主机路由不通，会出现单向丢包，外网连接超时。
简单判断：优先使用默认bridge网络，不要随意自定义复杂网络，新手很容易踩坑。
五、公网IP问题：没有独立公网IP，直接无法外网访问
很多家用宽带、轻量服务器没有独立公网IP。这种情况下，就算端口映射、防火墙全部配置正确，外网依然无法直接连接服务器。
两种解决思路：
- 申请运营商公网IP（家用宽带，部分地区支持）
- 使用内网穿透工具，把本地端口映射到公网域名，外网通过穿透地址访问云手机网页/ADB。
内网穿透会带来延迟，适合轻量挂机场景；如果需要低延迟、稳定多开，自建Docker需要公网IP，门槛较高。
六、容器内部服务监听地址限制
云手机容器内的VNC、ADB服务，如果监听地址写死127.0.0.1，容器外部无法连接。
需要确认容器内服务监听0.0.0.0，接收来自容器网卡的外部请求。
可以进入容器内部，用netstat查看监听地址，确认服务没有绑定回环地址。
七、其他小众故障点
- 端口冲突：宿主机其他程序占用了你要使用的端口，导致Docker绑定失败。更换端口重试。
- 宿主机IP转发未开启：Linux系统内核ip转发关闭，Docker流量无法转发。
开启内核转发：
echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf
sysctl -p
- 域名解析问题：使用域名访问的情况，域名解析IP错误，或者域名SSL证书问题导致网页打不开。可以先用公网IP+端口测试，排除域名问题。
八、排查顺序总结（建议按这个顺序操作）
- 宿主机本地访问测试→判断容器服务是否正常运行
- 检查docker run的端口映射，确认监听0.0.0.0
- 检查云服务器安全组放行端口
- 检查宿主机防火墙放行端口
- 判断服务器是否拥有独立公网IP，无公网IP则配置内网穿透
- 确认Linux内核IP转发开启
- 排查端口冲突、容器内服务监听地址
九、写在最后
自建Docker云手机外网访问的坑很多，网络、安全组、端口、内核配置，任意一环出错都会连接失败。每次调试都要逐层定位，不要一次性修改大量配置，很难定位根因。
如果不想长期维护服务器、处理网络故障，六边云手机采用自建Docker底层架构，已经提前做好网络适配，支持网页访问和ADB自动化，不用反复调试外网穿透、安全组这类网络问题，适合挂机、多开、自动化脚本场景。
常见问题
Q：端口已经放行，外网还是超时？
A：优先确认服务器有没有独立公网IP，没有公网IP，单纯放行端口无效，需要内网穿透。
Q：内网能访问，外网可以ping IP，但是端口不通？
A：大概率是云厂商安全组没有放行对应端口，ping是ICMP协议，和TCP端口不是一回事。
Q：ADB外网连不上，网页VNC可以打开？
A：确认ADB端口在安全组和防火墙放行，同时确认容器内ADB服务监听0.0.0.0。
