exited容器虽停止运行，但其iptables端口映射规则可能残留，导致新容器端口冲突；需先用iptables -t nat -d docker 行号清除旧规则，再通过docker rm -f、--rm或自定义网络从源头避免复发。
容器处于 exited 状态时，虽然进程已停止，但 docker 仍可能保留其端口映射规则（通过 iptables），导致新容器无法绑定同一宿主机端口——表现为“port is already allocated”或服务启动后无法访问。这不是端口真被占用，而是旧映射残留。解决需分两步：清理残留规则 + 防止复发。
确认并清除残留的端口映射规则
Exited 容器不会自动清理 iptables 转发链，尤其当它曾用 -p 映射过端口时：
- 运行
sudo iptables -t nat -L DOCKER -n --line-numbers，查找目标端口（如:8080）对应的行号 - 执行
sudo iptables -t nat -D DOCKER 行号删除该条规则（例如sudo iptables -t nat -D DOCKER 3） - 验证是否清除：再次运行
iptables命令，确认目标端口不再出现；也可用ss -tuln | grep :8080确认宿主机端口未被实际占用
避免下次再出现冲突的关键操作
单纯删规则是治标。要根治，必须从容器生命周期管理入手：
-
启动前先清理旧容器：用
docker rm -f 容器名强制删除 Exited 容器（-f会同时清理关联的网络规则） -
改用
--rm自动清理：对临时调试容器，直接加--rm参数，退出即删，不留痕迹 -
统一使用自定义网络而非默认桥接：创建独立网络（
docker network create mynet），容器加入后通过服务名通信，减少对宿主机端口的强依赖
检查 Docker 守护进程和系统级干扰
极少数情况下，残留可能来自守护进程异常或系统配置：
- 重启 Docker 服务可刷新全部网络规则：
sudo systemctl restart docker - 检查
/etc/docker/daemon.json是否配置了"userland-proxy": false—— 若启用，部分端口映射行为会变化，建议保持默认（true）以兼容性优先 - 确认没有其他进程（如原生 nginx、python -m http.server）意外占用了该端口
