Docker暴露的端口仅在某些节点上可访问

Question

我的环境当前正在以集群模式版本18.03 Community Edition运行20个节点docker。 3个管理器和17个工作节点。到目前为止，一切工作正常，但由于某些原因，当我们暴露某些容器的端口时，路由网格似乎无法正常工作。当我检查NAT配置时，暴露的端口仅出现在某些主机中。

产生示例步骤：-

• docker服务创建一个暴露端口8081的容器。
• 卷曲http://docker-hosta:8081-成功返回
• 卷曲http://docker-hostb:8081-RETURN连接被拒绝/失败

从iptables下面可以看到，似乎未在docker-hostb中创建端口8081。您是否知道是什么原因导致iptables无法将端口复制到某些主机？在20位主持人中，有一些作品有的没有。

docker-hosta

$ sudo iptables -t nat -S
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-N DOCKER
-N DOCKER-INGRESS
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER-INGRESS
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j DOCKER-INGRESS
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -o docker_gwbridge -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.18.0.0/16 ! -o docker_gwbridge -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER -i docker_gwbridge -j RETURN
-A DOCKER-INGRESS -p tcp -m tcp --dport 8088 -j DNAT --to-destination 172.18.0.2:8088
-A DOCKER-INGRESS -p tcp -m tcp --dport 8081 -j DNAT --to-destination 172.18.0.2:8081
-A DOCKER-INGRESS -p tcp -m tcp --dport 8000 -j DNAT --to-destination 172.18.0.2:8000
-A DOCKER-INGRESS -j RETURN

docker-hostb

$ sudo iptables -t nat -S
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-N DOCKER
-N DOCKER-INGRESS
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER-INGRESS
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j DOCKER-INGRESS
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -o docker_gwbridge -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A POSTROUTING -s 172.18.0.0/16 ! -o docker_gwbridge -j MASQUERADE
-A DOCKER -i docker0 -j RETURN
-A DOCKER -i docker_gwbridge -j RETURN
-A DOCKER-INGRESS -p tcp -m tcp --dport 8088 -j DNAT --to-destination 172.18.0.2:8088
-A DOCKER-INGRESS -p tcp -m tcp --dport 8888 -j DNAT --to-destination 172.18.0.2:8888
-A DOCKER-INGRESS -p tcp -m tcp --dport 8000 -j DNAT --to-destination 172.18.0.2:8000
-A DOCKER-INGRESS -p tcp -m tcp --dport 8091 -j DNAT --to-destination 172.18.0.2:8091