Estou experimentando Dockerfiles e acho que entendo a maior parte da lógica. No entanto, não vejo a diferença entre "expor" e "publicar" uma porta nesse contexto.

Todos os tutoriais que vi primeiro incluem o EXPOSEcomando no Dockerfile:

...
EXPOSE 8080
...

Em seguida, eles criam uma imagem a partir deste Dockerfile:

$ docker build -t an_image - < Dockerfile

E publique a mesma porta acima ao executar a imagem:

$ docker run -d -p 8080 an_image

ou publique todas as portas usando

$ docker run -d -P an_image

Qual é o sentido de expor uma porta no Dockerfile, se ela será publicada de qualquer maneira? Seria necessário expor uma porta primeiro e não publicá-la mais tarde? Efetivamente, eu gostaria de especificar todas as portas que usarei no Dockerfile ao criar a imagem e não me incomodar com elas novamente, executando-as simplesmente com:

$ docker run -d an_image

Isso é possível?

Basicamente, você tem três opções:

1. Nem especifique EXPOSEnem-p
2. Especifique apenas EXPOSE
3. Especifique EXPOSEe-p

1) Se você não especificar EXPOSEnem -p, o serviço no contêiner será acessível apenas de dentro do próprio contêiner.

2) Se você é EXPOSEuma porta, o serviço no contêiner não pode ser acessado de fora do Docker, mas de dentro de outros contêineres do Docker. Portanto, isso é bom para a comunicação entre contêineres.

3) Se você EXPOSEe -puma porta, o serviço no contêiner estiver acessível de qualquer lugar, mesmo fora do Docker.

A razão pela qual ambos são separados é IMHO porque:

• a escolha de uma porta do host depende do host e, portanto, não pertence ao Dockerfile (caso contrário, isso dependeria do host),
• e geralmente é suficiente se um serviço em um contêiner estiver acessível a partir de outros contêineres.

A documentação declara explicitamente:

A EXPOSEinstrução expõe portas para uso em links.

Também mostra como vincular contêineres , que basicamente é a comunicação entre contêineres sobre a qual falei.

PS: Se você faz -p, mas não faz EXPOSE, o Docker faz um implícito EXPOSE. Isso ocorre porque, se uma porta é aberta ao público, ela também é automaticamente aberta para outros contêineres do Docker. Daí -pinclui EXPOSE. Por isso não o listei acima como quarto caso.

Resposta curta:

• EXPOSEé uma maneira de documentar
• --publish(ou -p) é uma maneira de mapear uma porta host para uma porta de contêiner em execução

Observe abaixo que:

• EXPOSEestá relacionado a Dockerfiles( documentação )
• --publishestá relacionado a docker run ...( execução / tempo de execução )

Expor e publicar portas

Nas redes do Docker, existem dois mecanismos diferentes que envolvem diretamente as portas de rede: expor e publicar portas. Isso se aplica à rede de pontes padrão e às redes de pontes definidas pelo usuário.

• Você expõe portas usando a EXPOSEpalavra - chave no Dockerfile ou o --exposesinalizador para executar o Docker. A exposição de portas é uma maneira de documentar quais portas são usadas, mas na verdade não mapeia nem abre nenhuma porta . A exposição de portas é opcional.

• Você publica portas usando o sinalizador --publishou --publish-allpara docker run. Isso informa ao Docker quais portas abrir na interface de rede do contêiner. Quando uma porta é publicada, ela é mapeada para uma porta de alta ordem disponível (maior que 30000) na máquina host, a menos que você especifique a porta a ser mapeada na máquina host em tempo de execução. Você não pode especificar a porta para a qual mapear na máquina host ao criar a imagem (no Dockerfile), porque não há como garantir que a porta estará disponível na máquina host em que você executa a imagem .

de: rede de contêineres do Docker

Atualização em outubro de 2019 : a parte do texto acima não está mais nos documentos, mas uma versão arquivada está aqui: docs.docker.com/v17.09/engine/userguide/networking/#exposing-and-publishing-ports

Talvez a documentação atual seja a seguinte:

Portas publicadas

Por padrão, quando você cria um contêiner, ele não publica nenhuma de suas portas no mundo externo. Para disponibilizar uma porta para serviços fora do Docker ou para contêineres do Docker que não estão conectados à rede do contêiner, use o sinalizador --publishou -p. Isso cria uma regra de firewall que mapeia uma porta de contêiner para uma porta no host do Docker.

e pode ser encontrado aqui: docs.docker.com/config/containers/container-networking/#published-ports

Além disso,

EXPOR

... A EXPOSEinstrução não publica realmente a porta . Ele funciona como um tipo de documentação entre a pessoa que cria a imagem e a pessoa que executa o contêiner, sobre quais portas devem ser publicadas.

de: referência do Dockerfile

Acesso ao serviço quando EXPOSE/ --publishnão está definido:

Na resposta de @Golo Roden, afirma-se que:

"Se você não especificar nenhum deles, o serviço no contêiner não poderá ser acessado de nenhum lugar, exceto de dentro do próprio contêiner."

Talvez tenha sido o caso no momento em que a resposta estava sendo escrita, mas agora parece que, mesmo se você não usar EXPOSEou --publish, a hostoutra containersrede da mesma rede poderá acessar um serviço que você pode iniciar dentro desse contêiner.

Como testar isso:

Eu usei o seguinte Dockerfile. Basicamente, eu começo com o ubuntu e instalo um pequeno servidor web:

FROM ubuntu
RUN apt-get update && apt-get install -y mini-httpd

Eu builda imagem como "testexpose" e runum novo contêiner com:

docker run --rm -it testexpose bash

Dentro do contêiner, inicio algumas instâncias de mini-httpd:

root@fb8f7dd1322d:/# mini_httpd -p 80
root@fb8f7dd1322d:/# mini_httpd -p 8080
root@fb8f7dd1322d:/# mini_httpd -p 8090

Sou capaz de usar a curlpartir do host ou de outros contêineres para buscar a home page do mini-httpd.

Consulte a referência da documentação oficial: https://docs.docker.com/engine/reference/builder/#expose

Isso EXPOSEpermite que você defina portas privadas (contêiner) e públicas (host) para expor no momento da criação da imagem quando o contêiner estiver em execução, se você o executar -P.

$ docker help run
...
  -P, --publish-all                    Publish all exposed ports to random ports
...

A porta pública e o protocolo são opcionais; se nenhuma porta pública for especificada, uma porta aleatória será selecionada no host pela janela de encaixe para expor a porta do contêiner especificado no Dockerfile.

Uma boa prática é não especificar porta pública, porque limita apenas um contêiner por host (um segundo contêiner lançará uma porta já em uso).

Você pode usar -pem docker runcontrolar o que porto público dos portos de contentores expostos vai ser ligada.

De qualquer forma, se você não usar EXPOSE(com o -Pdocker run) nem -p, nenhuma porta será exposta.

Se você sempre usa -pem docker runvocê não precisa EXPOSE, mas se você usar EXPOSEo seu docker runcomando pode ser mais simples, EXPOSEpode ser útil se você não se importa em qual porta será expor no host, ou se você tem certeza de apenas um contêiner será carregado.

Você expõe portas usando a palavra-chave EXPOSE no Dockerfile ou o sinalizador --expose à execução do docker. Expor portas é uma maneira de documentar quais portas são usadas, mas na verdade não mapeia nem abre nenhuma porta. A exposição de portas é opcional.

Fonte: github commit

A maioria das pessoas usa o docker compor com redes. A documentação declara:

O recurso de rede do Docker suporta a criação de redes sem a necessidade de expor portas na rede; para obter informações detalhadas, consulte a visão geral desse recurso).

O que significa que, se você usa redes para comunicação entre contêineres, não precisa se preocupar em expor portas.

EXPOSE é usado para mapear a porta do contêiner de porta local, ou seja: se você especificar exposto no arquivo docker, como

EXPOSE 8090

O que será feito mapeará a porta 8090 do host local para a porta 8090 do contêiner