docker与防火墙需协同配置而非关闭：docker自动操作iptables的docker/docker-user链，firewalld或ufw须针对性放行主机映射端口及swarm通信端口，并推荐通过docker-user链或禁用docker iptables管理来避免规则冲突。
安装 docker engine 后，系统防火墙（如 firewalld 或 ufw）默认可能拦截容器端口映射或 swarm 通信，导致服务不可访问。关键不是“关闭防火墙”，而是正确配置规则，让 docker 的网络行为与防火墙协同工作。
明确 Docker 与防火墙的协作关系
Docker 启动时会自动操作主机的 iptables（Linux），插入 DOCKER 和 DOCKER-USER 链。这些链在 firewalld 或 ufw 管理范围之外，因此不能仅靠高层工具（如 firewall-cmd --add-port）覆盖所有场景。必须区分两类流量：
-
外部访问容器端口（如主机 8080 → 容器 80）：需在
INPUT链或 firewalld 的 public zone 中放行主机监听端口 -
容器间/容器与外部通信：由
DOCKER-USER链控制，是用户自定义策略的首选入口点，优先级高于 Docker 自动规则
firewalld 环境下的推荐配置步骤
适用于 CentOS/RHEL/Fedora 等使用 firewalld 的系统：
- 先停用 Docker：
sudo systemctl stop docker - 清空并重建 DOCKER-USER 链：
sudo firewall-cmd --permanent --direct --remove-chain ipv4 filter DOCKER-USERsudo firewall-cmd --permanent --direct --add-chain ipv4 filter DOCKER-USER - 允许已建立连接的返回流量（必需）：
sudo firewall-cmd --permanent --direct --add-rule ipv4 filter DOCKER-USER 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -m comment --comment "Allow return traffic" - 按需添加白名单（例如只允许内网访问容器）：
sudo firewall-cmd --permanent --direct --add-rule ipv4 filter DOCKER-USER 2 -s 192.168.1.0/24 -j ACCEPT -m comment --comment "Allow LAN" - 最后拒绝其他入站容器流量：
sudo firewall-cmd --permanent --direct --add-rule ipv4 filter DOCKER-USER 10 -j REJECT -m comment --comment "Block all other to containers" - 重载防火墙并重启 Docker：
sudo firewall-cmd --reloadsudo systemctl start docker
ufw 环境下的简化处理（Ubuntu/Debian）
ufw 默认不管理 Docker 的 iptables 链，容易造成规则冲突。稳妥做法是：
- 启用 ufw 并设置默认策略：
sudo ufw default deny incomingsudo ufw default allow outgoing - 手动放行你 显式映射的主机端口（不是容器端口）：
sudo ufw allow 8080/tcp（对应-p 8080:80）sudo ufw allow 2377/tcp（Swarm manager）sudo ufw allow 7946/{tcp,udp}（节点通信） - 禁用 Docker 自动管理 iptables（可选但推荐）：
编辑/etc/docker/daemon.json，加入：{"iptables": false}
然后sudo systemctl restart docker，再由 ufw 统一管控
绕过冲突的务实方案
若环境简单、安全要求不高，或调试阶段，可临时避免复杂集成：
- 启动容器时限制绑定地址：
docker run -p 127.0.0.1:8080:80 nginx，仅本机可访问，无需开放防火墙 - 对测试容器使用 host 网络模式：
docker run --network host nginx，直接复用主机网络栈，规则由主机防火墙统一处理 - 确需完全放开（如离线开发机）：停用 firewalld/ufw 即可，命令为
sudo systemctl stop firewalld && sudo systemctl disable firewalld
或sudo ufw disable
