核心是让docker与firewalld共存而非互斥：通过docker-user链做前置过滤、禁用firewalld清空docker规则、配置docker使用非冲突网段，并明确分工——firewalld管宿主机对外策略，docker自主维护容器网络规则。
核心思路是让 Docker 和 firewalld 各司其职，不互相覆盖规则。关键不是关掉谁，而是明确分工：firewalld 管宿主机对外策略，Docker 自己的网络规则（尤其是端口映射和容器通信）由它自己维护，且不被 firewalld 清除。
用 DOCKER-USER 链做防火墙策略入口
Docker 从 17.06 版本起预留了 DOCKER-USER 这条 iptables 链，它在所有 Docker 自动规则之前执行，且 firewalld 不会动它。所有你想加的、针对容器流量的访问控制，都应该写在这里。
- 规则必须用
iptables -I DOCKER-USER插入顶部，不能用-A追加 - 例如限制外部只允许某 IP 访问容器的 8080 端口：
iptables -I DOCKER-USER -s 203.0.113.45 -p tcp --dport 8080 -j ACCEPTiptables -I DOCKER-USER -p tcp --dport 8080 -j DROP - 禁止某网段访问所有容器端口：
iptables -I DOCKER-USER -s 192.168.5.0/24 -j DROP
禁用 firewalld 对 Docker 规则的接管
默认情况下，firewalld 重启时会清空整个 iptables，这是冲突根源。需告诉 firewalld “别碰 Docker 的链”：
- 编辑
/etc/firewalld/firewalld.conf - 将
FirewallBackend改为nf_tables（如系统支持）或确保FlushAllOnReload=yes被设为no - 更稳妥的做法：在 firewalld 配置中显式排除 Docker 相关链
创建/etc/firewalld/direct.xml，加入：<chain ipv="ipv4" table="filter" chain="DOCKER-USER"></chain><chain ipv="ipv4" table="nat" chain="DOCKER"></chain> - 然后执行
firewall-cmd --reload
调整 Docker 启动行为，绕过 iptables 冲突
如果环境严格要求 firewalld 完全主导，可让 Docker 放弃管理 iptables（适用于仅需本地测试或已用其他方式做端口暴露的场景）：
- 编辑
/etc/docker/daemon.json，添加：{"iptables": false} - 重启 Docker：
systemctl restart docker - 此时容器不再自动配置端口映射规则，你需手动用
firewall-cmd开放对应端口：firewall-cmd --permanent --add-port=8080/tcpfirewall-cmd --reload - 注意：此方式下
docker run -p仍能绑定端口，但不会做 DNAT，外部访问需走宿主机 IP + 手动开放端口
避免网段重叠引发的底层冲突
firewalld 和 Docker 冲突常被误认为纯规则问题，其实底层网段重叠也会导致路由混乱（比如宿主机本身在 172.17.0.0/16 网段）：
- 检查宿主机 IP：
ip a | grep inet - 若发现与
docker0默认网段（172.17.0.0/16）重叠，立即修改 Docker 网桥地址 - 在
/etc/docker/daemon.json中指定非冲突网段：{"bip": "10.200.0.1/24", "default-address-pools": [{"base": "10.200.1.0/24", "size": 24}]} - 重启 Docker 后验证：
ip a show docker0应显示新地址
