很多人在家庭服务器或NAS上跑多个服务——Jellyfin影视、Home Assistant智能家居、Nextcloud网盘等等。
直接一股脑启动容器，很快就会发现：端口冲突导致启动失败、一个容器吃光CPU导致全家卡顿、甚至某个容器能访问另一个容器的数据库。
这篇文章从零开始，告诉你如何让每个容器像装在独立机器上一样运行，互不干扰。

第一步：摸清你的服务器和容器打算放哪儿

先确认物理机环境：

• 操作系统：推荐 Debian/Ubuntu 或基于它们的 NAS 系统（如 DSM 的 Docker 套件）。
• 已安装 Docker（没有的话执行 curl -fsSL https://get.docker.com | sh）。
• 规划好你想运行的容器列表，比如：
• 多媒体：jellyfin/jellyfin（默认端口 8096）
• 智能家居：ghcr.io/home-assistant/home-assistant（默认端口 8123）
• 文件同步：nextcloud（默认端口 80）

小技巧：在开始前用 docker ps 看下当前有没有在跑的容器，避免脑补冲突。

第二步：用自定义网络切断容器间默认互联

Docker 默认使用 bridge 网络，所有容器在同一网段，默认能互相访问。
要隔离，为每个服务创建独立网络。

docker network create net_jellyfin
docker network create net_homeassistant
docker network create net_nextcloud

这样每个容器只会加入自己对应的网络，缺省情况下容器之间无法直接 ping 通。

别踩坑：不要图省事把所有容器放进同一个自定义网络，那样隔离就失效了。

第三步：端口映射规划——给每个服务一个专属端口

同一台主机上，同一端口只能被一个容器占用。
你需要为每个容器分配不重复的主机端口。

举例：

• Jellyfin：用主机 8096 → 容器 8096
• Home Assistant：用主机 8123 → 容器 8123
• Nextcloud：用主机 8080 → 容器 80（注意 80 端口已在主机被系统占用，必须映射到高位端口）

启动命令示例：

docker run -d --name jellyfin --network net_jellyfin -p 8096:8096 jellyfin/jellyfin
docker run -d --name homeassistant --network net_homeassistant -p 8123:8123 ghcr.io/home-assistant/home-assistant
docker run -d --name nextcloud --network net_nextcloud -p 8080:80 nextcloud

端口冲突检查：启动前用 ss -tlnp | grep 8096 等命令确认主机端口未被占用。
如果报错 port is already allocated，换一个高位端口即可。

第四步：资源限制——防止一个容器吃光全家性能

家庭服务器性能有限，一个容器跑满 CPU 或内存会拖累其他服务。
Docker 支持 --cpus 和 --memory 参数。

docker run -d --name jellyfin \
  --network net_jellyfin \
  -p 8096:8096 \
  --cpus="1.5" \
  --memory="2g" \
  jellyfin/jellyfin

docker run -d --name homeassistant \
--network net_homeassistant \
-p 8123:8123 \
--cpus="1.0" \
--memory="1g" \
ghcr.io/home-assistant/home-assistant

**资源数值参考**：轻量容器（Home Assistant、Nextcloud）给 1～2 核、1～2GB 内存；多媒体转码容器（Jellyfin）给 2～4 核、2～4GB 内存。调整时注意不要超过物理机上限。

## 第五步：验证隔离效果——确认容器之间真的互相看不见

验证分为网络隔离和资源隔离两部分。

**网络隔离验证**：进入一个容器，尝试 ping 另一个容器名或 IP。

进入 jellyfin 容器

docker exec -it jellyfin /bin/sh
ping homeassistant # 应该超时或提示未知主机

如果 ping 通了，说明两个容器在同一网络，需要调整网络配置。

**资源隔离验证**：让一个容器跑满 CPU，观察另一个容器的性能是否受影响。你可以用 `stress` 工具模拟负载（容器内安装 `stress` 后执行 `stress --cpu 2 --timeout 30`），同时用 `htop` 观察系统整体负载。

**端口独占验证**：在主机上直接用 `curl http://localhost:8096` 应返回 Jellyfin 页面，`curl http://localhost:8123` 返回 Home Assistant 页面，`curl http://localhost:8080` 返回 Nextcloud 页面。如果某个端口返回其他服务的内容，说明端口映射冲突。

## 避坑指南与高频问题

**Q：容器启动后过一会自动停止？**
可能是内存限制太低导致 OOM kill。检查 `docker logs 容器名`，如果包含 `killed`，提高 `--memory` 限制。

**Q：容器之间需要访问彼此的数据怎么办？**
不要用网络直接互联，通过挂载同一主机目录共享数据。例如两个容器都挂载 `/mnt/share` 目录，但注意写权限控制。

**Q：家用服务器重启后容器都挂了？**
启动容器时加上 `--restart unless-stopped` 参数，让 Docker 在机器重启后自动拉起容器。

**Q：我想让某个容器能连外网但不能被其他容器访问？**
默认就是这样——容器可以经宿主 NAT 访问互联网，但其他容器无法连接到它（因为不在同一自定义网络）。如果你需要某个容器对外提供服务，只需要正确映射端口，不需要额外配置。

## 这篇内容的关键结论

通过“独立自定义网络 + 端口映射规划 + 资源限制”三件套，你完全可以在同一台家庭服务器上干净隔离多个容器。每次新增容器前先检查主机端口与资源余量，用 `docker inspect` 命令查看容器网络和资源限制细节。如果你遇到某个容器异常访问另一个容器的情况，回头检查网络分配是否正确。按照本文步骤操作，你的住宅机器就能安全、高效地运行多套服务，互相不打架。