linux防火墙拦截docker容器访问的关键是使用docker-user链添加iptables规则，或禁用docker自动操作iptables并交由firewalld/ufw全权管控。
Linux 防火墙拦截 Docker 容器访问的关键在于：Docker 默认绕过系统级防火墙（如 firewalld、UFW）直接操作 iptables，导致你用 firewall-cmd 或 ufw 添加的规则对容器映射端口“无效”。要真正拦截，必须在 Docker 的 iptables 链（尤其是 DOCKER-USER）中设置规则，或调整 Docker 启动行为使其尊重系统防火墙。
优先使用 DOCKER-USER 链做精准拦截
Docker 从 17.06 版本起预留了 DOCKER-USER 链，专供用户插入自定义规则——它位于 Docker 自动规则之前，且不会被 Docker 重启覆盖。这是最推荐、最安全的方式。
- 禁止所有外部访问某容器端口（例如容器暴露的 8080）：
iptables -I DOCKER-USER -p tcp --dport 8080 -j DROP - 仅允许特定 IP 访问该端口（如只放行 192.168.1.50）：
iptables -I DOCKER-USER -s 192.168.1.50 -p tcp --dport 8080 -j ACCEPTiptables -I DOCKER-USER -p tcp --dport 8080 -j DROP - 拦截整个容器网段（如默认 bridge 网络 172.17.0.0/16 的入向流量）：
iptables -I DOCKER-USER -i eth0 -d 172.17.0.0/16 -j DROP
firewalld 用户：需显式放行 docker0 接口并配置区域
firewalld 默认不管理 docker0 虚拟网桥，因此即使你封了 8080 端口，Docker 的 iptables 规则仍会放行。解决办法是把 docker0 接口加入受控区域，并禁用自动规则干扰：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 将 docker0 接口绑定到 public 区域：
firewall-cmd --permanent --zone=public --add-interface=docker0 - 禁用 firewalld 对 docker0 的自动信任（避免 bypass）：
firewall-cmd --permanent --zone=public --remove-interface=docker0（慎用）
更稳妥做法是：清空 public 区域服务，只按需开放端口，再用DOCKER-USER补充控制 - 确认 firewalld 不与 Docker 冲突：
检查/etc/firewalld/firewalld.conf中FirewallBackend是否为iptables（非 nftables），并确保未启用passthrough模式
UFW 用户：启用 iptables backend 并手动干预
UFW 默认不处理 DOCKER-USER 链。你需要确保 UFW 正确加载，再叠加 iptables 规则：
- 启用 UFW：
sudo ufw enable - 允许基础服务（如 SSH），拒绝其余：
sudo ufw default deny incomingsudo ufw allow OpenSSH - 但 UFW 无法限制
-p 8080:80映射——此时仍需补充：sudo iptables -I DOCKER-USER -p tcp --dport 8080 -j DROP - 持久化规则（Ubuntu/Debian）：
sudo iptables-save | sudo tee /etc/iptables/rules.v4
终极方案：让 Docker 完全交由系统防火墙接管
如果希望 firewalld 或 UFW 全权管控，可禁用 Docker 自动操作 iptables（需接受部分功能妥协）：
- 编辑
/usr/lib/systemd/system/docker.service，在ExecStart行末尾添加：--iptables=false - 重载并重启：
sudo systemctl daemon-reload && sudo systemctl restart docker - 此时
docker run -p不再自动开洞，所有端口必须由 firewalld/UFW 显式开放：sudo firewall-cmd --permanent --add-port=8080/tcp && sudo firewall-cmd --reload - ⚠️ 注意：容器将失去默认外网访问能力，需额外配置 masquerade：
sudo firewall-cmd --permanent --add-masquerade && sudo firewall-cmd --reload
