群晖 Docker 容器连不上代理报 no route to host 怎么排查？
问题
在群晖 NAS 上用 Docker 跑了几个容器（比如媒体库、索引工具），需要走旁边一台软路由设备上的代理出网。容器里配好代理地址，一测试报"no route to host"或"路由不可达"。更奇怪的是：代理那台设备能 ping 通 NAS，NAS 反过来却 ping 不通它。防火墙看了，两边好像都没拦。
常见原因
- 容器网络是 host 模式时，容器和 NAS 本机共用一套网络栈——本机到代理不通，容器必然不通。所以问题往往不在 Docker，而在两台设备之间。
- 单向 ping 不通，最大嫌疑是对端（软路由/代理设备）的防火墙默认不回复 ping。很多软路由系统出于安全默认丢弃探测包，“ping 不通"不等于"端口不通”。
- “no route to host"在 Linux 里最常见的触发条件，是对端防火墙把连接直接拒绝（reject），不是真的没路由。
- 两台设备 IP 写错、子网掩码不一致，看着像同网段其实不通。
分步解决
第一步，先在 NAS 本机测代理：SSH 登录 NAS（或用 Docker 的终端功能），用 curl 带上代理地址测试出网。通了，说明问题在容器配置；不通，继续往下查网络。
第二步，核对两边的 IP 和子网掩码：NAS 与代理设备是不是真在同一个网段，掩码是否一致。掩码不一致是"看着通实际不通"的经典坑。
第三步，去代理设备上放行：进软路由管理界面，在防火墙里放行内网方向的 ping 回复和代理服务端口。放行后再从 NAS ping 一次对比。
第四步，用端口测试代替 ping：用 telnet 或端口测试工具直接连代理的端口。端口通就别纠结 ping 了，直接回容器里试。
第五步，检查容器里的代理地址写法：host 模式下填代理设备的内网 IP，别填 127.0.0.1——那指向 NAS 自己；如果之前用的是 bridge 网桥模式，127.0.0.1 更是指向容器自身，同样连不到代理。
第六步，以上都正常仍报错：看 NAS 自身的防火墙规则、交换机上有没有端口隔离，必要时给代理设备绑定静态 IP 再测一遍。
预防
- 代理、软路由这类基础服务设备固定 IP，不要依赖 DHCP 动态分配。
- 网络规划时把"谁能 ping 谁、哪些端口开放"写进小文档，出问题按单子查。
- 改网络配置一次只改一处，改完就测，出问题好定位。
容器、代理这些链路问题看着小，拖起来最耗人。贵州诚鑫致达科技做企业数据管家，公司网络和 NAS 环境的疑难排障，可以交给我们。
企业存储选型参考｜贵州诚鑫致达
做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。