ports для внешнего форвардинга, а внутри одной виртуальной сети контейнеры друг друга видят и ничего открывать не надо
Ports никак не зависит от сети, в которой контейнер? У меня есть internal для базы данных.. И public для nginx. А вот контейнер с gitea вроде internal, но для ssh-форвардинга ему нужно на локалхост пробросить порт.. Надо его в обе сети добавлять, или internal с ports достаточно будет?