docker安装后默认不自动配置系统防火墙，需手动放行宿主机映射端口（如8080），而非容器内端口（如80）；firewalld用户执行firewall-cmd --add-port=8080/tcp --permanent && firewall-cmd --reload，ufw用户需同时放行端口并配置forward链规则以支持docker流量转发。
Docker 安装后默认不自动配置系统防火墙，若宿主机启用了 firewalld（CentOS/RHEL/Fedora）或 ufw（Ubuntu/Debian），需手动放行 Docker 相关端口，否则容器对外服务（如 Web 服务、API 接口）可能无法被访问。
确认 Docker 使用的网络模式和端口暴露方式
Docker 默认使用 bridge 网络，容器端口需通过 -p 或 --publish 显式映射到宿主机端口（如 docker run -p 8080:80 nginx）。防火墙放行的是宿主机上被映射的端口（这里是 8080），不是容器内部端口（80）。
注意：Docker 会直接操作 iptables 添加规则（在 DOCKER-USER、FORWARD 链中），但系统级防火墙（如 firewalld/ufw）若未放行对应端口，仍会拦截进入宿主机的初始连接。
firewalld 用户：放行宿主机映射端口
以放行宿主机的 8080 端口为例：
- 临时放行：
sudo firewall-cmd --add-port=8080/tcp - 永久放行：
sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload - 若需批量放行常用端口（如 80、443、8080、3000）：
sudo firewall-cmd --permanent --add-port={80,443,8080,3000}/tcp && sudo firewall-cmd --reload
⚠️ 不建议直接开放 docker0 网桥网段（如 172.17.0.0/16）——这会绕过容器端口映射机制，带来安全风险。应始终基于实际映射端口控制访问。
ufw 用户：允许宿主机映射端口并启用转发
ufw 默认会拒绝 FORWARD 链，而 Docker 依赖该链转发流量到容器。需额外配置：
- 启用端口（如 8080）：
sudo ufw allow 8080 - 允许 Docker 网桥间转发（关键！）：
echo 'DEFAULT_FORWARD_POLICY="ACCEPT"' | sudo tee -a /etc/default/ufwsudo sed -i 's/^\(FORWARD\)/#\1/' /etc/ufw/before.rules
在/etc/ufw/before.rules的*filter段末尾（COMMIT前）添加：
# allow docker forward-A FORWARD -d 172.17.0.0/16 -i docker0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT-A FORWARD -s 172.17.0.0/16 -i eth0 -o docker0 -j ACCEPT - 重启 ufw：
sudo ufw disable && sudo ufw enable
验证是否生效
运行一个测试容器：docker run -d -p 8080:80 --name test-nginx nginx
- 本地访问：
curl http://localhost:8080（应返回 Nginx 欢迎页） - 从局域网其他机器访问：
curl http://[宿主机IP]:8080（若失败，检查防火墙是否放行且无中间网络策略拦截） - 查看当前放行端口：
sudo firewall-cmd --list-ports或sudo ufw status verbose
