宿主机防火墙策略误拦截是容器间连接超时的高频原因，需通过临时停用防火墙验证、启用日志捕获拦截详情、将docker0网桥加入trusted区域、补充iptables forward链放行规则及检查selinux干预来系统排查修复。
宿主机防火墙策略误拦截是容器间连接超时的高频原因，尤其在 firewalld 或 ufw 启用时，常静默丢弃 docker0 网桥流量，导致容器 ping 不通、curl 超时、服务调用失败。解决核心是让防火墙明确信任容器网络，而不是简单关闭它。
确认是否被防火墙拦截
先验证问题是否真由防火墙引起：
- 临时停用防火墙测试：CentOS/RHEL 执行
sudo systemctl stop firewalld；Ubuntu/Debian 执行sudo ufw disable - 停用后立即测试容器互通（如
docker exec -it c1 ping c2或curl http://c2:8080），若恢复则基本锁定为防火墙策略问题 - 启用日志捕获拦截详情：firewalld 可运行
sudo firewall-cmd --set-log-denied=all --permanent && sudo firewall-cmd --reload，然后tail -f /var/log/messages | grep docker0查看是否有 REJECT 日志
将 docker0 网桥加入受信任区域
firewalld 默认不信任 docker0 接口，需显式将其划入 trusted 区域：
- 执行命令：
sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0 - 重新加载规则：
sudo firewall-cmd --reload - 验证生效：
sudo firewall-cmd --zone=trusted --list-interfaces应包含docker0 - 若使用自定义网桥（如
br-xxxx），同样需添加对应接口名
补充 iptables FORWARD 链放行规则
即使 firewalld 配置正确，底层 iptables 的 FORWARD 链仍可能被设为 DROP，尤其在某些加固系统中：
- 检查当前策略：
sudo iptables -L FORWARD -n，若 Policy 是 DROP，且无 ACCEPT 规则匹配容器子网，则会拦截 - 添加放行规则（以默认 bridge 子网为例）：
sudo iptables -I FORWARD -s 172.17.0.0/16 -d 172.17.0.0/16 -j ACCEPT - 如使用其他网段（如 192.168.48.0/20），请替换对应 CIDR
- 持久化规则（CentOS/RHEL）：
sudo service iptables save；Ubuntu 可安装iptables-persistent
检查 SELinux 干预（仅限 RHEL/CentOS）
SELinux 在 enforcing 模式下可能限制容器间网络通信，尤其涉及端口绑定或跨命名空间流量：
- 临时设为 permissive 测试：
sudo setenforce 0，若问题消失，说明 SELinux 策略冲突 - 查看拒绝日志：
sudo ausearch -m avc -ts recent | audit2why - 推荐方案：保持 enforcing，但启用容器网络相关布尔值：
sudo setsebool -P container_manage_cgroup on和sudo setsebool -P container_connect_all on
