Dockerポートバインディング完全ガイド｜-pと-Pの違い・セキュリティまで

第2章の 2-6 で -p 8080:80 の基本は学びました。第5章の締めくくりとして、ポートバインディングを実務で安全に使うための細かい書式をまとめます。セキュリティに関わる話も多いので、本番運用前に一度目を通してほしい内容です。

目次

1. 復習：-p の役割
2. -p の全フォーマット
3. -P（大文字）：自動ポート割当
4. docker port で確認する
5. セキュリティ強化：127.0.0.1 指定
6. コンテナ同士は -p 不要
7. ファイアウォール・iptables との関係
8. よくあるつまずき
9. まとめ

1. 復習：-p の役割

-p（publish）はホスト側の指定ポートへ来たトラフィックをコンテナ内のポートに転送するルールを作ります。Docker は内部で iptables の NAT ルールを挿入してこれを実現しています。

2. -p の全フォーマット

# 書式
-p [ホストIP:]ホストポート:コンテナポート[/プロトコル]

# 例
-p 8080:80                           # 全IFのホスト8080 → コンテナ80（TCP）
-p 127.0.0.1:8080:80                 # ループバックのみ（外部不可）
-p 80:80                             # ホストも80を使う
-p 443:443                           # HTTPS
-p 53:53/udp                         # UDP（DNSなど）
-p 8080-8090:80-90                   # 範囲マッピング
-p 192.168.1.10:8080:80              # 特定のホストIPだけで受ける

3. -P（大文字）：自動ポート割当

大文字の -P は、イメージが EXPOSE 宣言している全ポートを、ホストの空いているポートに自動で割り当てます。

$ docker run -d --name web -P nginx
a7b8c9d0...

$ docker port web
80/tcp -> 0.0.0.0:32768
80/tcp -> [::]:32768

# ブラウザで http://localhost:32768 で見える

ホストポートが被ったときの事故を防げる反面、URLが毎回変わるのでユーザー公開には不向き。テスト・CI向きです。

docker port で確認する

# 特定コンテナの全マッピング
$ docker port web
80/tcp -> 0.0.0.0:8080

# 特定ポートだけ
$ docker port web 80
0.0.0.0:8080

# docker ps でも確認できる（PORTS 列）
$ docker ps --format 'table {{.Names}}\t{{.Ports}}'
NAMES    PORTS
web      0.0.0.0:8080->80/tcp

5. セキュリティ強化：127.0.0.1 指定

本番で最も大事な一文：外部に公開したくないポートは、必ずホストIP 127.0.0.1 指定で bind する。

6. コンテナ同士は -p 不要

ありがちな誤解：「アプリから DB につなぐので、DB コンテナには -p 5432:5432 を付ける」。これは間違いです。

docker network create app-net

# DB は -p なし（外部公開しない）
docker run -d --name db --network app-net \
  -e POSTGRES_PASSWORD=secret postgres:16

# アプリは -p あり（ブラウザから叩く）
docker run -d --name app --network app-net -p 3000:3000 \
  -e DATABASE_URL="postgres://postgres:secret@db:5432/postgres" \
  myapp

7. ファイアウォール・iptables との関係

Dockerは起動するとiptables の DOCKER チェーンに自動でルールを入れます。-p するたびに DNAT ルールが追加され、ポート転送が実現されています。

# DNAT ルールの確認（要 root）
$ sudo iptables -t nat -L DOCKER -n
Chain DOCKER (2 references)
target     prot opt source    destination
DNAT       tcp  --  0.0.0.0/0 0.0.0.0/0  tcp dpt:8080 to:172.18.0.2:80

Docker の iptables 操作を止めたい場合

自前で iptables ルールを管理したい上級者向け：/etc/docker/daemon.json で "iptables": false を設定。ただしポート転送・コンテナ間分離などの機能が全部自分の責任になるので、通常は触りません。

8. よくあるつまずき

9. まとめ

参考リンク

• Published ports（Docker公式） — -p / -P の詳細仕様。
• Packet filtering and firewalls（Docker公式） — Docker と iptables・ufw の関係。

Dockerの基礎を動画で体系的に学びませんか？

実務で使う基礎だけを3時間に凝縮。環境構築から丁寧に解説しています。

クーポン割引で講座を見る →