Что такое EXPOSE в Dockerfile?

Что такое EXPOSE в Dockerfile?

EXPOSE — это инструкция в Dockerfile, которая используется для документирования сетевых портов, которые контейнер будет прослушивать во время выполнения. Это важная часть декларативной конфигурации Docker-образа.

Основное предназначение и семантика

Инструкция EXPOSE выполняет две ключевые функции:

1. Документирование (основная роль): Она сообщает пользователям и другим разработчикам, какие порты приложение внутри контейнера готово принимать подключения. Это метаданные образа.
2. Связь с хостовой системой: Сама по себе инструкция EXPOSE НЕ открывает порты на хосте и НЕ публикует их наружу. Она лишь информирует Docker о намерениях контейнера.

Практическое использование и взаимодействие с -p

Реальное пробрасывание портов на хост происходит при запуске контейнера с помощью флага -p (или --publish) команды docker run.

• EXPOSE 80 в Dockerfile: "Контейнер ожидает трафик на порту 80".
• docker run -p 8080:80 ...: "Сопоставить порт 8080 на хосте (наружу) с портом 80 внутри контейнера".

Если порт не указан в EXPOSE, вы всё равно можете его опубликовать с помощью -p (например, -p 8080:3000). Однако использование EXPOSE считается хорошей практикой, так как делает Dockerfile самодокументируемым.

Пример Dockerfile с инструкцией EXPOSE

Рассмотрим пример для простого веб-приложения на Node.js:

# Используем официальный образ Node.js
FROM node:18-alpine

# Устанавливаем рабочую директорию внутри контейнера
WORKDIR /usr/src/app

# Копируем файлы зависимостей и устанавливаем их
COPY package*.json ./
RUN npm ci --only=production

# Копируем исходный код приложения
COPY . .

# Документируем, что приложение прослушивает порт 3000
EXPOSE 3000

# Определяем команду для запуска приложения
CMD ["node", "server.js"]

В этом примере инструкция EXPOSE 3000 явно указывает, что приложение в контейнере будет работать на порту 3000.

Сценарии использования и важные замечания

• Для внутренней связи между контейнерами: При использовании пользовательской сети Docker (user-defined bridge) инструкция EXPOSE позволяет контейнерам связываться друг с другом по указанным портам, используя имена контейнеров как DNS-имена, без необходимости явной публикации портов на хост (-p).

• Инспектирование: Вы можете увидеть задекларированные порты, используя команду docker inspect:

  docker inspect <container_id> --format='{{.Config.ExposedPorts}}'
  

• Протокол: По умолчанию EXPOSE предполагает TCP. Для указания UDP-порта используется синтаксис: EXPOSE 53/udp. Можно указать оба протокола: EXPOSE 53/tcp 53/udp.

• Несколько портов: Можно указать несколько портов одной инструкцией или несколькими:

  EXPOSE 80 443 3000
  # Или
  EXPOSE 80
  EXPOSE 443
  

Выводы и ключевые отличия

• EXPOSE vs -p (--publish):

    *   `EXPOSE` — это **декларация намерения** на этапе сборки образа (build time).
    *   `-p` — это **действие по созданию сетевого проброса** на этапе запуска контейнера (run time).

• EXPOSE не обеспечивает безопасность. Контейнер, слушающий порт, будет делать это независимо от наличия инструкции EXPOSE. Эта инструкция — лишь форма документации и подсказка для системы.
• Использование EXPOSE является признаком хорошего стиля и значительно упрощает работу с образом, особенно в команде или при использовании оркестраторов (Docker Compose, Kubernetes), которые могут читать эту метаинформацию.

Таким образом, EXPOSE — это не команда открытия порта, а важный элемент документации и контракта вашего Docker-образа, который описывает его сетевой интерфейс для последующего использования.