Docker 升级后怎么修复因为内核参数变化导致的启动失败-Docker-PHP中文网

升级docker后启动失败主因是新版本对内核模块（overlay、br_netfilter）、cgroup版本及sysctl参数要求更严，需依次补全模块、启用bridge-nf参数、回退cgroup v1、绕过secure boot/selinux拦截。

docker 升级后怎么修复因为内核参数变化导致的启动失败

升级 Docker 后启动失败，常不是 Docker 本身出错，而是新版本对内核模块和参数更严格——尤其依赖 overlay、br_netfilter 和 cgroup 控制能力。修复重点是补模块、调参数、绕拦截。

新 Docker（尤其是 20.10+）默认要求 overlay 和 br_netfilter 模块已加载。若缺失，容器无法创建或网络不通：

运行 lsmod | grep -E 'overlay|br_netfilter' 查看是否已加载
若无输出，手动加载：sudo modprobe overlay && sudo modprobe br_netfilter
加载失败且提示 Required key not available，大概率是 Secure Boot 阻止签名模块加载，需临时禁用：sudo mokutil --disable-validation（重启后按提示操作）
确保开机自动加载：向 /etc/modules-load.d/docker.conf 写入两行：
overlay
br_netfilter

Docker 容器间及与宿主机通信依赖 netfilter 对桥接流量的处理。内核升级后这些参数常被重置为 0：

Docker Cli

使用 Docker CLI 构建、运行、停止、检查和管理容器与镜像的助手。用于执行容器相关任务。

下载

检查当前值：sysctl net.bridge.bridge-nf-call-iptables 和 net.bridge.bridge-nf-call-ip6tables，应为 1
临时启用：sudo sysctl -w net.bridge.bridge-nf-call-iptables=1 等同理设其他项
永久生效：在 /etc/sysctl.d/99-docker.conf 中添加：
net.bridge.bridge-nf-call-iptables = 1
net.bridge.bridge-nf-call-ip6tables = 1
然后执行 sudo sysctl --system

Ubuntu 22.04 及更新系统默认启用 cgroup v2，但旧版 Docker（如 docker.io 包）仅支持 v1，会导致 cgroups not available 错误：

确认当前模式：cat /proc/1/cgroup | head -n1 —— 若含 unified 即 v2
强制回退到 cgroup v1：编辑 /etc/default/grub，修改 GRUB_CMDLINE_LINUX 行，追加：
cgroup_enable=memory swapaccount=1 systemd.unified_cgroup_hierarchy=0
更新 GRUB 并重启：sudo update-grub && sudo reboot
验证：重启后再次检查 /proc/1/cgroup，应显示 name=systemd 或 name= 开头的多行（v1 格式）

即使模块和参数就位，仍可能因底层不兼容失败：

运行 docker info | grep "Storage Driver"，确认显示 overlay2；若报错或显示 aufs，检查 /etc/docker/daemon.json 是否明确指定：
{"storage-driver": "overlay2"}
CentOS/RHEL 用户需注意 SELinux：若 setenforce 0 后 Docker 可启动，说明策略拦截，可改为宽松模式：sudo sed -i 's/SELINUX=enforcing/SELINUX=permissive/' /etc/selinux/config
Secure Boot 未关闭时，modprobe 可能静默失败，务必结合 dmesg | grep -i "secure\|modprobe" 查日志确认