podman rootless 模式下普通用户默认无法绑定80端口，因内核限制非root用户不可绑定1024以下端口；但可通过slirp4netns端口映射（推荐）、调整sysctl参数、iptables/nftables重定向或authbind四种方式解决，无需切换rootful模式。
普通用户在 Podman rootless 模式下默认无法绑定 80 端口，因为 Linux 内核禁止非 root 用户绑定 1024 以下端口；但无需切到 rootful 模式，也无需 sudo 启动容器，只需选择一种适配当前环境的方案即可生效。
用 slirp4netns 自动端口映射（推荐）
这一步操作起来很简单，直接运行命令就行：podman run -p 80:80 -p 443:8443 nginx:alpine。
slirp4netns 会自动在用户命名空间内完成透明转发，对外表现为容器监听了 80/443；但实际宿主机上监听的是一个高位随机端口（如 42069），由 slirp4netns 在用户态接管流量并转发到容器内部。
确认是否启用该后端：执行 podman info | grep -A5 network，输出中 networkBackend 必须为 slirp4netns。若显示 pasta 或其他值，则此方法不适用。
注意：slirp4netns 版本必须 ≥ 1.1.0，旧版本不支持低位端口映射。可运行 slirp4netns --version 验证。
调整内核参数放开低端口限制
临时放开限制（重启失效）：sudo sysctl net.ipv4.ip_unprivileged_port_start=0。
永久生效需两步：先在 /etc/sysctl.d/99-unpriv-ports.conf 中写入 net.ipv4.ip_unprivileged_port_start = 0，再执行 sudo sysctl --system。
【该设置影响全系统所有非 root 用户】，意味着任何普通用户进程都能 bind 1–1023 端口，绕过内核默认安全边界。仅建议用于开发机、CI 环境或离线测试机。
用 iptables/nftables 做宿主机端口重定向
前提：你有宿主机 root 权限，但容器仍保持 rootless 运行。
假设你的 Podman 容器已监听 127.0.0.1:8080，且未暴露到 0.0.0.0：
方法一（iptables）：
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -d 127.0.0.1 -j REDIRECT --to-port 8080
方法二（nftables，更现代）：
sudo nft add rule ip nat prerouting tcp dport 80 redirect to :8080
sudo nft add rule ip nat output tcp dport 80 daddr 127.0.0.1 redirect to :8080
⚠️ 注意：iptables 规则不会自动持久化，重启后丢失；如需保存，请使用 iptables-save + 定时加载，或改用 nftables 并执行 sudo nft list ruleset > /etc/nftables.conf 后启用 systemd nftables 服务。
验证端口是否真正可用
第一步：启动容器并映射 80 端口，例如 podman run -d --name web -p 80:80 nginx:alpine。
第二步：检查容器状态与端口映射：podman ps --format "table {{.ID}}\t{{.Image}}\t{{.Status}}\t{{.Ports}}"。
第三步：在宿主机执行 ss -tln | grep ':80'，若看到 0.0.0.0:80 或 \* :80（取决于所选方案），说明映射已就绪。
第四步：curl -I http://localhost，返回 HTTP 200 或 301 即表示成功。如果失败，优先检查防火墙是否放行 80 端口（尤其是 firewalld/ufw），【Podman rootless 容器不创建真实网卡，firewalld 默认不管理其流量】，但宿主机 iptables/nftables 或云服务器安全组仍可能拦截。
