Docker - отображение портов и iptables

запускаем tomcat на внешнем порту 8888:

# docker run --network=default -p 8888:8080 --name tomcatC -d tomcat

Автоматически создается правило в iptables:

# iptables -L DOCKER
Chain DOCKER (3 references)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             172.17.0.2           tcp dpt:http-alt

Зайти можно извне через ip:8888 или через внутреннюю сеть через local_ip:8080
Внешний порт 8080 задает разработчик контейнера.