我不得不处理同样的问题，并且能够在不停止任何正在运行的容器的情况下解决它。这是截至2016年2月的最新解决方案，使用Docker 1.9.1。不管怎样，这个答案是@ricardo-branco的答案的详细版本，但对新用户来说更有深度。

在我的场景中，我想临时连接到运行在容器中的MySQL，由于其他应用程序容器都链接到它，停止、重新配置和重新运行数据库容器是不可能的。

由于我想从外部(通过SSH隧道从Sequel Pro)访问MySQL数据库，我将使用主机上的端口33306。(不是3306，只是以防有一个外部MySQL实例在运行。)

我花了大约一个小时摆弄iptables，结果一无所获，尽管:

一步一步地，我是这样做的:

mkdir db-expose-33306
cd db-expose-33306
vim Dockerfile

编辑dockerfile，把这个放在里面:

# Exposes port 3306 on linked "db" container, to be accessible at host:33306
FROM ubuntu:latest # (Recommended to use the same base as the DB container)

RUN apt-get update && \
    apt-get -y install socat && \
    apt-get clean

USER nobody
EXPOSE 33306

CMD socat -dddd TCP-LISTEN:33306,reuseaddr,fork TCP:db:3306

然后构建图像:

docker build -t your-namespace/db-expose-33306 .

然后运行它，链接到正在运行的容器。(使用-d代替-rm将其保留在后台，直到显式地停止和删除。在这种情况下，我只希望它暂时运行。)

docker run -it --rm --name=db-33306 --link the_live_db_container:db -p 33306:33306  your-namespace/db-expose-33306

以下是一些解决方案:

https://forums.docker.com/t/how-to-expose-port-on-running-container/3252/12

运行容器时映射端口的解决方案。 Docker运行-d——net=host myvnc 这将自动将端口公开并映射到您的主机

您可以使用像Weave Net这样的覆盖网络，它将为每个容器分配唯一的IP地址，并隐式地将所有端口暴露给网络的每个容器部分。

Weave还提供主机网络集成。缺省情况下是禁用的，但是，如果您还想从主机访问容器IP地址(及其所有端口)，您可以简单地运行weave expose。

坦白说，我在纺织工场工作。

有一个方便的HAProxy包装器。

docker run -it -p LOCALPORT:PROXYPORT --rm --link TARGET_CONTAINER:EZNAME -e "BACKEND_HOST=EZNAME" -e "BACKEND_PORT=PROXYPORT" demandbase/docker-tcp-proxy

这将为目标容器创建一个HAProxy。容易peasy。

IPtables黑客不能工作，至少在Docker 1.4.1上是这样。

最好的方法是使用暴露的端口运行另一个容器，并使用socat进行中继。下面是我使用SQLPlus(临时)连接数据库所做的工作:

docker run -d --name sqlplus --link db:db -p 1521:1521 sqlplus

Dockerfile：

FROM debian:7

RUN apt-get update && \
    apt-get -y install socat && \
    apt-get clean

USER nobody

CMD socat -dddd TCP-LISTEN:1521,reuseaddr,fork TCP:db:1521

为了向已接受的iptables解决方案添加答案，我必须在主机上运行另外两个命令，将其向外部世界打开。

HOST> iptables -t nat -A DOCKER -p tcp --dport 443 -j DNAT --to-destination 172.17.0.2:443
HOST> iptables -t nat -A POSTROUTING -j MASQUERADE -p tcp --source 172.17.0.2 --destination 172.17.0.2 --dport https
HOST> iptables -A DOCKER -j ACCEPT -p tcp --destination 172.17.0.2 --dport https

注意:我正在打开端口https(443)，我的docker内部IP是172.17.0.2

注2:这些规则是临时的，只会持续到容器重新启动