客户端连不上守护进程本质是通信链路中断，需分层验证：先确认守护进程是否存活（如systemctl status docker），再检查是否监听套接字（ls -l /var/run/docker.sock、lsof -u | grep docker），最后验证客户端访问权限与配置（用户组、docker_host环境变量、selinux等）。
客户端连不上守护进程，本质是通信链路断了。重点不是“重装”或“重启”，而是分层验证：先确认守护进程在不在，再看它有没有在听，最后检查客户端能不能找到它。
确认守护进程是否存活
这是最基础也最容易被跳过的一步。很多报错看似复杂，其实只是服务根本没起来。
- 运行 sudo systemctl status docker（Linux）或打开 Docker Desktop 看状态图标（macOS/Windows）
- 如果显示 inactive (dead) 或启动卡在“Starting”，说明守护进程没跑起来，后续所有排查都无效
- 不要直接试
docker ps—— 它失败了只能告诉你“连不上”，不能告诉你“为什么连不上”
验证守护进程是否在监听套接字
Docker 默认通过 Unix 套接字 /var/run/docker.sock 通信。进程活着 ≠ 它在监听这个路径。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 执行 sudo ls -l /var/run/docker.sock，确认文件存在且权限为
srw-rw----，所属组为docker - 运行 sudo lsof -U | grep docker，应看到 dockerd 进程正在监听该 socket
- 如果 socket 文件不存在，或
lsof无输出，说明守护进程虽启动但未成功绑定——此时要查日志：journalctl -u docker --no-pager -n 30
检查客户端能否访问通信端点
即使守护进程在监听，客户端也可能因权限、路径或配置问题找不到它。
- 非 root 用户需在
docker组里：用 groups 查看当前用户所属组，缺了就加：sudo usermod -aG docker $USER，然后重新登录终端 - 手动指定 socket 路径测试：sudo docker -H unix:///var/run/docker.sock info。若成功返回信息，说明通信通，问题出在默认配置或用户权限
- 检查环境变量：echo $DOCKER_HOST。如果它被意外设成 tcp 地址（如
tcp://127.0.0.1:2375），而守护进程没开 TCP 监听，就会超时
排除系统级干扰因素
有些问题不来自 Docker 自身，而是被宿主环境悄悄拦截。
- SELinux（RHEL/CentOS）可能阻止 socket 访问：临时禁用测试 sudo setenforce 0，若恢复则需调整策略而非关闭
- 防火墙一般不影响本地 socket，但若启用了 Docker 的 TCP 模式（不推荐），需确认端口开放：sudo ss -tlnp | grep 2375
- 某些安全软件或容器运行时（如 Podman、LXC）会占用 cgroup 或命名空间资源，导致 dockerd 初始化失败，查 dmesg | tail -20 看内核报错
