daemon.json不能写具体iptables规则，仅能通过"iptables": false开关禁用docker自动管理iptables，将控制权交由firewalld或手动iptables统一管控。

直接在 daemon.json 里不能“指定 iptables 规则”，它不支持写具体规则语句。它的作用是控制 docker 守护进程是否**参与管理** iptables —— 关键在于开关和策略层级的协调，而不是代替你写 iptables -a。

关闭 Docker 自动操作 iptables

这是最常用、也最推荐的做法，尤其当你已启用 firewalld 或手动维护 iptables：

• 编辑 /etc/docker/daemon.json
• 添加或确认包含：
  {"iptables": false}
• 重启 Docker：sudo systemctl restart docker

这样 Docker 就不再自动增删 DOCKER、DOCKER-USER 等链，也不会插 NAT 或 FORWARD 规则。所有网络策略交由 firewalld 或你手动配置的 iptables 统一管控。

用 DOCKER-USER 链做前置过滤（推荐替代方案）

如果你仍想保留 Docker 的网络自动配置能力（比如容器互通、端口映射），但又需要加访问控制，就别动 Docker 的规则，而是利用它预留的 DOCKER-USER 链：

Browser Js

轻量级CDP浏览器控制，适用于AI代理。相较于内置浏览器工具，token消耗降低3‑10倍，仅在浏览时使用。

下载

• Docker 启动时会自动创建 DOCKER-USER 链，并确保它在所有 Docker 规则之前执行
• 你可以安全地往里面加规则，比如只允许某 IP 访问容器端口：
  sudo iptables -I DOCKER-USER -i eth0 ! -s 192.168.1.100 -p tcp --dport 8080 -j DROP
• 这类规则不会被 Docker 覆盖，firewalld 重启后也不会丢失（只要保存了 iptables 规则）

配合 firewalld 的正确姿势

启用 firewalld 后，Docker 容器端口映射失效或“绕过防火墙”，根本原因是两者规则打架。解决路径很明确：

• 保持 "iptables": true（默认），但确保 firewalld 使用 iptables 后端（不是 nftables）
• 或者更稳妥：设 "iptables": false，然后用 firewalld 显式开放容器实际使用的宿主机端口
  例如容器跑在 -p 8080:80，就在 firewalld 中执行：
  sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload
• 注意：firewalld 不感知容器内部端口，只管宿主机监听端口

其他相关参数（辅助控制）

虽然不直接写规则，但这些 daemon.json 设置会影响网络行为：

• "icc": false：禁止容器间通过 IP 互访（默认 true）
• "ip-forward": false：关闭内核 IP 转发（影响容器访问外网，慎用）
• "userland-proxy": false：禁用用户态代理，改用 iptables REDIRECT（对端口性能敏感时可选）