必须开启ipv4转发、配置firewalld端口转发规则并启用ip伪装，三者缺一不可；容器需监听0.0.0.0且证书有效，外网验证应避开localhost回环测试。
要让外网通过 HTTPS（443 端口）访问部署在内网容器中的服务，用 Firewalld 做端口转发是常见且轻量的方案。关键不是简单“转个端口”，而是打通系统层转发 + 防火墙规则 + 协议兼容性三环，缺一不可。
必须开启 IPv4 转发功能
Firewalld 本身不处理 IP 层路由，它只管理 netfilter 规则。真正的端口转发依赖内核的 IP 转发能力。
- 检查当前状态：
cat /proc/sys/net/ipv4/ip_forward，返回1才生效 - 若为
0，执行：echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf && sysctl -p - 该设置重启后仍有效，是后续所有转发的前提
配置 Firewalld 的转发规则与伪装
假设你的宿主机公网 IP 是 203.0.113.10，容器监听在 172.17.0.2:8443（如 Nginx 或 Spring Boot 容器启用 HTTPS），你想让外网访问 https://203.0.113.10 就能到达容器。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 添加端口转发规则（将 443 流量转到容器）：
firewall-cmd --permanent --zone=public --add-forward-port=port=443:proto=tcp:toport=8443:toaddr=172.17.0.2 - 开启 IP 伪装（masquerade），让返回包能正确回源：
firewall-cmd --permanent --zone=public --add-masquerade - 重载生效：
firewall-cmd --reload - 验证：运行
firewall-cmd --list-all，确认看到forward-ports:和masquerade: yes
注意容器网络与协议适配细节
仅转发端口还不够，HTTPS 流量对证书、Host 头、TLS 版本敏感，容易卡在连接建立或 TLS 握手阶段。
-
容器必须监听 0.0.0.0:8443，不能只绑定
127.0.0.1或容器内部地址，否则外部无法连入 - 确保容器内服务已配置有效 TLS 证书；若用自签名证书，外网客户端会提示不安全，但连接可通（可用
curl -k https://203.0.113.10测试） - 如果容器用的是反向代理（如 Nginx），建议让它终止 HTTPS（即宿主机不参与 TLS），再以 HTTP 转发给后端应用（更简单稳定）；此时转发规则改为：
firewall-cmd --add-forward-port=port=443:proto=tcp:toport=8080:toaddr=172.17.0.2，并开放 8080 端口给容器 - 避免本地回环测试失败：从宿主机用
curl -v https://localhost可能失败（因 loopback 不走 nat 表），应从另一台局域网机器或外网真实设备验证
补充：是否需要额外放行端口？
不需要单独 --add-port=443/tcp。Firewalld 的 --add-forward-port 规则已隐含允许该入口流量（前提是 zone 策略默认允许，public zone 默认允许 443）。但如果你修改过 public zone 的默认策略（比如设为 drop），则需显式放行：firewall-cmd --permanent --zone=public --add-service=https 或 --add-port=443/tcp。
