在细看Docker的网络时推测，如果什么都port公开选项都不指定(包括Dockerfile里的EXPOSE)，那么容器里侦听port的服务，也能够从Docker主机内或者其他容器里访问得到，结果的确如此，这和网上各路高手解说的不大一样啊。
以前就好奇docker run时的
port公开方式-p 8080:8080和--expose(或者Dockerfile里的EXPOSE)的区别，
如果什么都不指定，那么除了该容器自己，谁都不能访问那个port。
后来有一天细看Docker的网络的时候，觉得不应该是这样。从Docker主机之外的确不能访问，这点没有疑问，可是从Docker主机之内或者其他容器，其实能够访问，而且很合理。
Docker在主机上做了个docker0网卡172.17.0.1。又为每个容器创建了一个vethXxxx网卡。
网卡是有两头的，一头接外边，一头接容器，就像管道。
这个veth网卡,一头给了容器做eth0 172.17.0.N，另一头被默认地被加入到docker0网卡上，相当把所有的容器的网卡都插到一个hub上了，这就是互通的基础。
照这么说，在其中一个容器里侦听eth0的端口，那么主机和其他容器都应该能够访问到才对。
实验环境: Mac OS X EI Capitan 10.11.5
$ docker-machine -v
docker-machine version 0.8.0-rc1, build fffa6c9
$ docker -v
Docker version 1.12.0-rc3, build 91e29e8, experimental
启动一个容器，什么-p -P --expose都不指定。 就用busybox吧，很小。起了以后就是一个bash等在那儿。
$ docker run -it busybox
得到他的ip,一般第一个启动的就是172.17.0.2。
/ # ifconfig eth0 |grep 'inet addr:'
inet addr:172.17.0.2 ...
在容器里执行一个netcat侦听端口7777。 一旦得到连接就发送date命令的结果给对方。
/ # nc -ll -p 7777 -e date
在别的容器里连接这个端口
$ docker run busybox nc 172.17.0.2 7777
Fri Jul 8 03:50:34 UTC 2016
能通！
在docker主机里连接这个端口
$ docker-machine ssh default nc 172.17.0.2 7777
Fri Jul 8 03:49:40 UTC 2016
自然也能通。
因为不是在Linux主机上，所以这里的docker主机实际值docker-machine这个boot2docker虚拟机。
这个现象应该不是因为实验版本导致的问题，就是这么设计的。
如果什么都不指定，那么从Docker主机以及其他容器，都能访问那个port。
当有时候忘了加-p端口映射选项就启动了容器做了一堆事儿之后，如果立刻想从Docker主机外访问的，可是却舍不得退出容器，那就还有补救机会。
就在Docker主机里用iptables加个端口转发规则，(VirtualBox里也可以加一个端口映射让本地访问)：
$ docker ssh default
docker@default:~$ sudo iptables -A PREROUTING -t nat -p tcp --dport 7777 -j DNAT --to 172.17.0.2:7777
或者在真正的Mac OS X上加个路由，允许经Docker主机(一般为192.168.99.100)访问到172.17.0.N
sudo route -n add 172.17.0.0/24 192.168.99.100
而对于-p 7777:7777这样的用法，这是没有疑问的，的确就在Docker主机上被加了个端口转接的rule了，所以和从Docker主机之外能够访问这个端口了。
剩下一个--expose 7777(或者Dockerfile里的EXPOSE 7777)，实质没有什么用，也许是给发现服务用的。并没有对iptables做任何改变。
直到-P(--publish-all)时才会被用到--expose里的端口信息。
就是说， 只有既指定--expose 7777(或者Docerfile里的EXPOSE 7777)又指定-P(--publish-all)时，才会有实际动作。但这是把Docker主机上的随机端口映射给容器里的7777，所以一般不用。
例如，先做一个EXPOSE 7777端口的Docker image。
$ cat Dockerfile
FROM busybox
EXPOSE 7777
$ docker build -t busybox_expose_7777 - < Dockerfile
Sending build context to Docker daemon 2.048 kB
Step 1 : FROM busybox
---> 2b8fd9751c4c
Step 2 : EXPOSE 7777
---> Running in bddf30c42dcd
---> 2c92defacdd4
Removing intermediate container bddf30c42dcd
Successfully built 2c92defacdd4
然后运行时加上 --publish-all，
docker run -it --publish-all busybox_expose_7777
/ # nc -ll -p 7777 -e date
这时再看看到底Docker主机的哪个端口被映射到容器里的7777了。
docker ps
...
fca504f3bc49 busybox_expose_7777 "sh" ... 0.0.0.0:32769->7777/tcp nostalgic_galileo
就是这个32769端口了。那访问Docker主机的32769端口看看。
(Docker主机的ip一般是192.168.99.100(可以从DOCKER_HOST环境变量里看出来))
$ nc 192.168.99.100 32769
Fri Jul 8 11:14:08 UTC 2016
的确如此。
真真是聊胜于无的东西，难以置信谁会用这个。却搞得不好理解，文档也说的不明不白。
对于新型的，不用VirtualBox的Docker for Mac或者Docker for Windows，会怎么样呢？
结果：在其他容器里也是可以访问别的容器的端口的。在docker主机里就不知道了，因为进不去，不过应该是行的。
这两种都直接利用Mac/Windows自带的虚拟设备API（例如Hypervisor.framework)直接生成一个linux虚拟机作为docker主机，
而且它刻意淡化这个虚拟机的存在，我暂时找不到命令进入这个虚拟机，所以没做完这个实验，不过无所谓了，原理一样，应该是一样的结果。
顺便，这种新型工具，以xhyve虚拟机为基础，非常轻巧好用，连VirtualBox都不用装了，一切和以前一样的用法，除了docker-machine命令不起作用。
就改一点： 
