前言

Docker针对端口映射前后有两种方案，一种是1.7版本之前docker-proxy+iptables DNAT 的方式；另一种则是1.7版本(及之后)提供的完全由iptables DNAT实现的端口映射。不过在目前docker 1.9.1中，前一种方式依旧是默认方式。但是从Docker 1.7版本起，Docker提供了一个配置项：–userland-proxy，以让Docker用户决定是否启用docker-proxy，默认为true，即启用docker-proxy。本文续前文，继续探讨使用端口映射时Docker容器网络的通信流程。

参考 

理解Docker单机容器网络 - xiaojikuaipao - 博客园 (cnblogs.com)

2.16 Ensure Userland Proxy is Disabled | Tenable®