当 Kong 容器都起来了，8001 却连不上时先别急着改 Kong
Kong 和 Konga 的 Docker 安装流程本身并不复杂：建kong-net、起 PostgreSQL、跑kong migrations bootstrap、启动 Kong 容器、再起 Konga，最后用curl -i http://localhost:8001/验证 Admin API。真正让人卡住的往往不是安装命令，而是所有容器都显示 Up 之后，8001 端口在宿主机上访问不到，或者 Konga 控制台里添加 Kong Admin API 时怎么填都提示连接失败。这篇从排障视角出发，先把 Codex 接到 TaoToken 通道（官网 https://taotoken.net/?utm_source=taotoken_aicg_blog_end ），让 Codex 按原文命令逐项核对 Docker 网络、KONG_PG_HOST、migrations bootstrap 和 Konga 里填写的 8001 地址，而不是一上来就怀疑 Kong 或 Konga 本身有问题。
一、原问题与场景：8001 连不上，问题多半不在 Kong 本身
原文的安装路径是清晰的：3.1 用docker network create kong-net建自定义网络；3.2 起 PostgreSQL 容器并加入kong-net；3.3 用docker run --rm执行kong migrations bootstrap，其中KONG_PG_HOST=kong-database；3.4 启动 Kong 容器，映射8001:8001；3.5 用curl -i http://localhost:8001/验证。Konga 部分则是 4.2.1 起自己的 PostgreSQL，4.2.2 执行prepare初始化，4.2.4 启动 Konga 并映射1337:1337，最后在控制台里添加 Kong Admin API 地址。
排障时常见的现象有三类：
第一类，宿主机执行curl -i http://localhost:8001/没有响应或连接被拒。这时要区分是 Kong 容器没真正监听 8001，还是端口映射没生效，还是 Kong 启动时因为数据库连接失败而退出。原文 3.4 里KONG_ADMIN_LISTEN=0.0.0.0:8001, 0.0.0.0:8444 ssl这一行决定了 Kong 在容器内监听哪个地址，如果这里写错，宿主机映射再正确也访问不到。
第二类，Konga 控制台里添加 Kong Admin API 时填了http://localhost:8001、http://127.0.0.1:8001或http://0.0.0.0:8001，保存后一直连不上。原文 4.2.4 已经明确提醒：不要使用 localhost、127.0.0.1、0.0.0.0，有可能连不上 Kong。原因是 Konga 运行在自己的容器里，它眼中的 localhost 是 Konga 容器自身，不是宿主机，也不是 Kong 容器。正确做法是填 Kong 容器在kong-net网络中的服务名或容器名加端口，例如http://kong:8001，或者填宿主机在 Docker 网络中的可达 IP 加 8001。
第三类，Kong 容器反复重启，日志里出现数据库连接失败。这通常和 3.3 的 migrations bootstrap 有关：如果 bootstrap 时KONG_PG_HOST写的不是kong-database，或者 PostgreSQL 容器还没完全就绪就执行了 bootstrap，数据库表结构没建好，Kong 启动时自然连不上。
这些问题的共同点是：它们都不是 Kong 或 Konga 的 bug，而是 Docker 网络、环境变量、容器间寻址和 Konga 填写地址之间的一致性出了问题。人工逐个docker inspect、docker logs、docker network inspect去核对当然可以，但步骤多、容易漏。更高效的方式是让 Codex 按原文命令逐项检查，而 Codex 需要一个可用的模型通道——这就是 TaoToken 在前置环节的作用。
二、TaoToken 前置：先拿 Key 和 Base URL，再让 Codex 排查
TaoToken 在这里只做一件事：提供 API Key 和 Base URL，让 Codex 能通过 TaoToken 通道调用模型。它不替代 Kong/Konga 的安装命令，也不改 Docker 网络配置，更不替代你去执行docker network create、kong migrations bootstrap或curl -i http://localhost:8001/。它解决的是“排查工具本身能不能跑起来”的问题。
操作顺序如下：
- 打开 https://taotoken.net/?utm_source=taotoken_aicg_blog_end ，注册并登录。
- 进入 API Keys 页面（deep link：https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite ），创建一个 Key，复制保存。下文用
YOUR_API_KEY代指。 - 记下 Base URL：
https://taotoken.net/api。注意这个地址不带/v1，也不加任何 UTM 参数。Codex 的config.toml里填的就是这个。 - 如果你需要先确认模型通道是否可用，可以到模型对话页面（deep link：https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=model_chat&utm_campaign=rewrite ）发一条测试消息。
- 如果你后续要长期用 Codex 做编码和排障，可以了解 Coding Plan（deep link：https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite ）。
拿到 Key 和 Base URL 之后，就可以进入 Codex 的配置环节。这里要强调：TaoToken 的 Key 是给 Codex 用的，不是给 Kong 或 Konga 用的。Kong/Konga 的容器环境变量里不需要出现这个 Key，也不应该出现。两者是独立的：Kong/Konga 负责网关和管理 UI，Codex 负责按你的指令去检查 Docker 网络和配置一致性。
三、可复制配置：Codex config.toml 接入 TaoToken
Codex 的配置文件是config.toml。在 Windows 上通常位于用户目录下的.codex文件夹，在 macOS/Linux 上通常是~/.codex/config.toml。如果文件不存在，手动创建即可。
下面是一份可复制的配置示例。请把YOUR_API_KEY替换成你在 TaoToken 控制台创建的真实 Key，把MODEL_ID替换成你要使用的模型 ID（具体可用模型以 TaoToken 控制台或文档为准）：
# ~/.codex/config.toml 或 %USERPROFILE%\.codex\config.toml model = "MODEL_ID" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api" env_key = "TAOTOKEN_API_KEY" wire_api = "chat"然后在系统环境变量里设置TAOTOKEN_API_KEY，值为你的YOUR_API_KEY。Windows PowerShell 可以临时设置：
$env:TAOTOKEN_API_KEY = "YOUR_API_KEY"macOS/Linux：
export TAOTOKEN_API_KEY="YOUR_API_KEY"如果你希望把 Key 直接写进配置文件而不是走环境变量，也可以把env_key那一行换成在 provider 段里直接写api_key = "YOUR_API_KEY"，但更推荐用环境变量，避免 Key 随配置文件被提交到版本库。
配置完成后，Codex 启动时会读取config.toml，通过https://taotoken.net/api这个 Base URL 把请求发到 TaoToken 通道。注意 Base URL 不要写成https://taotoken.net/api/v1，也不要带任何查询参数。原文里 Kong 的 Admin API 是http://localhost:8001/，Konga 里要填的是http://kong:8001或宿主机可达 IP，这些和 Codex 的 Base URL 是两套完全不同的地址，不要混在一起。
如果你使用的是 Claude Code 而不是 Codex，配置位置不同：Claude Code 走的是settings.json和ANTHROPIC_*系列环境变量，不是config.toml。本篇聚焦 Codex 的config.toml，Claude Code 的配置方式可以参考 TaoToken 的接入文档（deep link：https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ）。
四、验证请求与成功结果：让 Codex 逐项核对 8001 链路
配置好 Codex 之后，不要直接让它“帮我修 Kong”。更有效的做法是把原文的安装步骤和你的实际环境一起交给它，让它按检查清单逐项核对。下面是一段可以直接复制给 Codex 的排查指令模板：
我正在用 Docker 安装 Kong 和 Konga，参考的步骤是： 1. docker network create kong-net 2. 起 PostgreSQL 容器，--network=kong-net，容器名 kong-database，POSTGRES_USER=kong，POSTGRES_DB=kong 3. docker run --rm --network=kong-net -e "KONG_DATABASE=postgres" -e "KONG_PG_HOST=kong-database" -e "KONG_CASSANDRA_CONTACT_POINTS=kong-database" kong:latest kong migrations bootstrap 4. 起 Kong 容器，--network=kong-net，-e "KONG_DATABASE=postgres" -e "KONG_PG_HOST=kong-database" -e "KONG_ADMIN_LISTEN=0.0.0.0:8001, 0.0.0.0:8444 ssl"，-p 8000:8000 -p 8443:8443 -p 8001:8001 -p 8444:8444 5. curl -i http://localhost:8001/ 验证 6. Konga 容器 --network kong-net，-p 1337:1337，DB_URI=postgres://konga@konga-database:5432/konga 7. Konga 控制台里添加 Kong Admin API 地址 现在现象是：宿主机 curl -i http://localhost:8001/ 返回（填写你的实际返回），Konga 里填 http://localhost:8001 连不上。 请按以下顺序帮我检查，每一步给出要执行的命令和判断标准： - docker network inspect kong-net，确认 kong-database、kong、konga 三个容器都在同一网络 - docker ps -a，确认三个容器状态，Kong 是否反复重启 - docker logs kong，看是否有数据库连接错误或 migrations 未执行 - docker logs kong-database，确认 PostgreSQL 是否就绪 - docker exec -it kong env，确认 KONG_PG_HOST 是否为 kong-database - docker exec -it kong curl -i http://localhost:8001/，确认容器内部 8001 是否监听 - 宿主机 curl -i http://localhost:8001/，确认端口映射 - Konga 里应该填什么地址才能访问到 Kong 的 8001，给出具体写法Codex 拿到这段指令后，会按顺序给出命令和判断标准。你逐条执行，把输出贴回去，它就能帮你定位是哪一环断了。
成功的结果应该分两层：
第一层，Kong 侧。宿主机执行curl -i http://localhost:8001/返回 HTTP 响应头，状态码通常是 200，响应体里包含 Kong 的版本信息和 Admin API 相关字段。容器内执行docker exec -it kong curl -i http://localhost:8001/也能返回同样结果。docker logs kong里没有数据库连接失败或 migrations 相关报错。
第二层，Konga 侧。在 Konga 控制台添加 Kong Admin API 时，地址填http://kong:8001（因为 Konga 和 Kong 都在kong-net网络里，kong是 Kong 容器的名字，Docker 内置 DNS 能解析）。保存后 Konga 能拉到 Kong 的节点信息，dashboard 里能看到 Kong 的连接状态。如果 Konga 和 Kong 不在同一网络，才需要考虑填宿主机 IP，但原文的安装方式两者都在kong-net，所以优先用容器名。
这里再强调一次原文 4.2.4 的提醒：Konga 里不要填 localhost、127.0.0.1、0.0.0.0。这三个地址在 Konga 容器内部指向的是 Konga 自己，不是 Kong。填了必然连不上，而且报错信息往往很模糊，容易让人误以为是 Kong 没起来。
五、本篇常见错排查：8001 与 Konga 连接失败的几个高频原因
错误一：Konga 里填了 localhost:8001。这是最高频的问题。Konga 在容器里，localhost 是 Konga 容器自身。改成http://kong:8001，前提是 Konga 和 Kong 都在kong-net。可以用docker network inspect kong-net确认两个容器都在同一个网络下。
错误二：Kong 容器没加入 kong-net。如果启动 Kong 时漏了--network=kong-net，Kong 就无法通过容器名kong-database解析到 PostgreSQL，启动时会报数据库连接失败。检查docker inspect kong的 NetworkSettings，确认它在kong-net里。
错误三：migrations bootstrap 时 KONG_PG_HOST 写错。原文 3.3 用的是KONG_PG_HOST=kong-database，这个值必须和 3.2 里 PostgreSQL 容器的--name kong-database一致。如果 bootstrap 时写成了别的名字，数据库表没建好，Kong 启动后 Admin API 可能起不来。可以进 PostgreSQL 容器用psql -U kong -d kong -c "\dt"看表是否存在。
错误四：KONG_ADMIN_LISTEN 配置问题。原文 3.4 里是KONG_ADMIN_LISTEN=0.0.0.0:8001, 0.0.0.0:8444 ssl。如果这里只写了127.0.0.1:8001，容器内只有回环地址监听，宿主机端口映射就访问不到。确认这个环境变量是0.0.0.0:8001。
错误五：端口映射写错或冲突。原文 3.4 映射了-p 8000:8000 -p 8443:8443 -p 8001:8001 -p 8444:8444。如果宿主机 8001 已被占用，Docker 会启动失败或映射到其他端口。用docker ps看 PORTS 列，确认0.0.0.0:8001->8001/tcp存在。如果被占用，可以改成-p 18001:8001，但这样 Konga 里填的端口也要相应改成 18001。
错误六：PostgreSQL 没就绪就执行 bootstrap。docker run -d起 PostgreSQL 后，数据库初始化需要几秒。如果紧接着就执行 migrations bootstrap，可能连不上数据库。可以先docker logs kong-database看到database system is ready to accept connections再执行 bootstrap。
错误七：Codex 的 config.toml 里 Base URL 带了 /v1 或 UTM。这是 TaoToken 侧的配置问题，和 Kong 无关，但会导致 Codex 请求失败，排查工具用不了。确认base_url = "https://taotoken.net/api"，不带/v1，不带查询参数。
错误八：把 TaoToken 的 Key 填进了 Kong 或 Konga 的环境变量。不需要，也不应该。TaoToken 的 Key 只给 Codex 用。Kong/Konga 的环境变量里只应该有数据库相关和监听相关的配置。
排查时建议按“先容器状态、再网络、再环境变量、再端口映射、最后 Konga 填写地址”的顺序走。Codex 可以帮你把每一步的命令和判断标准列出来，但执行和贴输出还是你自己做。这样一轮下来，8001 连不上的原因基本能定位到具体某一环。
六、语义一致：排障完成后，把 Codex 通道固定下来
Kong/Konga 的 8001 问题解决之后，如果你后续还要继续用 Codex 做云原生相关的配置检查、Docker 网络排查、网关调试，建议把 TaoToken 的接入配置固定下来，而不是每次临时设环境变量。
需要长期编码和 Agent 场景的，可以看 Coding Plan（deep link：https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite ）。需要管理 Key、查看用量或创建新 Key 的，到 API Keys 页面（deep link：https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite ）。接入配置和 Base URL 的完整说明在接入文档（deep link：https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ）。如果你用的是 Claude Code，配置入口在 Claude Code 相关文档（deep link：https://taotoken.net/doc/claudecode-anthropic?utm_source=taotoken_aicg_blog_end&utm_content=claudecode_anthropic&utm_campaign=rewrite ）。
回到本篇的场景：Kong 和 Konga 的安装命令没有变，kong-net、KONG_PG_HOST=kong-database、kong migrations bootstrap、curl -i http://localhost:8001/这些步骤还是原文那套。TaoToken 做的是让 Codex 能跑起来，按这些步骤逐项核对，把“8001 连不上”从模糊的报错变成具体的某一环问题。Konga 里填http://kong:8001而不是 localhost，这个细节原文已经提醒过，排障时优先检查它。
