开启 ufw 后，容器内就不能访问 host 上的端口了。

你的 ufw 的 backend 是哪种？直接用它自己的命令把当前规则列出来看看

默认阻止？
先
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -F
再
ufw default allow incoming
或者
ufw allow from 172.17.0.0/16 to any

重启下 docker 试试，会自动生成规则。
docker 会生成 NAT MASQUERADE 规则，需要这个才能访问你要访问的 172.17.0.1 。

@hingle 172.17 不是 docker bridge 的 IP 吗？按说不需要 NAT 啊

正常的。启用 ufw 防火墙后，容器当然就不能访问主机 ip 的端口了，需要 ufw 开放端口。

如果要安全，可以用这条指令：
ufw allow from 172.17.0.0/16 to 172.17.0.1 port 2222 proto tcp
(假设容器 ip 地址段是 172.17.0.0/16 ，开放端口 2222/tcp)