显示的却是 50 MB 。这是因为 Docker Hub 中显示的体积是压缩后的体积。在镜像下载和上传过程中镜像是 保持着压缩状态的，因此 Docker Hub 所显示的大小是网络传输中更关心的流量大小。而 docker image ls 显示的是镜像下载到本地后，展开的大小，准确说，是展开后的各层所占空 间的总和，因为镜像到本地后，查看空间的时候，更关心的是本地磁盘空间占用的大小。 all -- 172.17.0.0/16 !172.17.0.0/16 ... 其中，上述规则将所有源地址在 172.17.0.0/16 网段，目标地址为其他网段（外部网络）的 流量动态伪装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获 取地址。 外部访问容器实现 容器允许外部访问，可以在 docker run 时候通过 -p 或 0.0.0.0/0 tcp dpt:80 to:172.17.0.2 :80 注意： 这里的规则映射了 0.0.0.0 ，意味着将接受主机来自所有接口的流量。用户可以通过 - p IP:host_port:container_port 或 -p IP::port 来指定允许访问容器的主机上的 IP、接 口等，以制定更严格的规则。 如果希望永久绑定到某个固定的

all -- 172.17.0.0/16 !172.17.0.0/16 ... 其中，上述规则将所有源地址在 172.17.0.0/16 网段，目标地址为其他网段（外部网络）的流量动态伪 装为从系统网卡发出。MASQUERADE 跟传统 SNAT 的好处是它能动态从网卡获取地址。 容器允许外部访问，可以在 docker run 时候通过 -p 或 -P 参数来启用。 0/0 0.0.0.0/0 tcp dpt:80 to:172.17.0.2:80 注意： 这里的规则映射了 0.0.0.0，意味着将接受主机来自所有接口的流量。用户可以通过 -p 映射容器端口到宿主主机的实现 容器访问外部实现 外部访问容器实现 Docker —— 从入门到实践 62 端口映射实现 IP:host_port:container_port