必须结合宿主机防火墙分层管控：docker自动启用ip转发并修改forward链，可能绕过宿主机策略；应采用协同模式——保留docker链功能，用firewalld/ufw对docker0或容器子网设白名单，并严格控制-p映射端口的input放行。
使用 Docker 容器时，防火墙安全隔离不能只靠 Docker 自带的 iptables 规则，必须结合宿主机防火墙（如 iptables、nftables 或 firewalld）做分层管控。Docker 默认会自动修改 iptables 的 FORWARD 链并启用 IP 转发，这可能绕过宿主机防火墙策略，带来隐蔽风险。
理解 Docker 对防火墙的默认干扰
Docker 启动后会：
- 自动设置
net.ipv4.ip_forward = 1，开启内核 IP 转发 - 在
filter/FORWARD链插入 ACCEPT 规则，允许容器间及容器与外部通信 - 在
nat/POSTROUTING链添加 MASQUERADE，实现容器出向地址伪装 - 这些规则默认优先级高，可能覆盖或跳过 firewalld/ufw 的策略
推荐的安全配置组合方式
不建议禁用 Docker 的 iptables 管理（--iptables=false），而应采用“协同管控”模式：
- 保留 Docker 管理自身网络链（DOCKER、DOCKER-ISOLATION-STAGE-1 等），确保容器网络基础功能正常
- 在宿主机防火墙中，对容器网桥接口（如 docker0、br-xxx）或容器子网（如 172.17.0.0/16）设白名单策略，例如仅允许特定端口入站
- 使用
firewalld时，将docker0加入 trusted zone 或自定义 zone，并限制其 ingress 规则 - 使用
ufw时，需显式启用DEFAULT_FORWARD_POLICY="ACCEPT"并配合ufw route（较新版本支持）或手动在before.rules中加 FORWARD 限制
容器暴露端口的防火墙控制要点
-p 8080:80 这类端口映射本质是通过宿主机的 INPUT 链 + DNAT 实现，因此：
- 宿主机防火墙必须放行目标端口（如 8080）的 INPUT 流量，否则连接被拒
- 建议避免使用
-P（随机端口映射），防止端口不可控暴露 - 若只需本地访问，改用
-p 127.0.0.1:8080:80，这样流量不经过外部接口，天然受 INPUT 接口限制保护 - 生产环境可结合
iptables -I INPUT -i eth0 -p tcp --dport 8080 -s 192.168.10.0/24 -j ACCEPT做源 IP 限制
高级隔离：使用 host 网络模式 + 手动防火墙策略
对安全性要求极高的场景（如运行特权服务），可考虑：
- 启动容器时加
--network host，完全复用宿主机网络栈 - 此时容器进程直接受宿主机防火墙全量管控，无 Docker 自动规则干扰
- 代价是失去网络命名空间隔离，需确保容器内不监听非预期端口或绑定 0.0.0.0
- 适合搭配
systemd-run --scope或 cgroup 限制进一步约束资源与能力
