端口映射修改后无反应，需刷新底层网络规则：重启Docker服务前须停止容器、清理网络、确保ip_forward开启，并处理firewalld冲突及iptables nat链规则，必要时重建docker0网桥。
端口映射改了但没反应，不是单纯重启容器或 docker 服务就能解决的。真正起作用的是底层网络规则（iptables/nftables）、firewalld 状态、docker 的网络驱动行为，以及系统 ip 转发开关。下面几步做完，规则才会真正刷新并持久生效。
确认并重载 Docker 网络栈
Docker 的桥接网络（如 docker0）和 iptables 规则由 Docker 守护进程动态管理。修改端口映射后，必须让 Docker 重新生成规则：
- 停止所有运行中的容器：docker stop $(docker ps -q)
- 删除默认 bridge 网络上的自定义网络（可选，避免残留）：docker network prune
- 重启 Docker 服务：systemctl restart docker
- 再启动容器（确保用 -p 参数或 Compose 中明确声明端口）
处理 firewalld 与 Docker 的规则冲突
firewalld 启动时会清空非自身管理的 iptables 规则——包括 Docker 添加的 DNAT/SNAT 规则。不干预就会“每次重启都失效”：
- 检查是否启用 firewalld：systemctl is-active firewalld
- 若启用，需配置 firewalld 将 Docker 规则纳入管理范围：
编辑 /etc/firewalld/firewalld.conf，设 FirewallBackend=nftables（推荐）或保留 iptables 并启用 iptables-services - 更稳妥做法：添加 Docker 规则白名单脚本，并设为 firewalld reload 后自动执行（参考官方
docker-firewalld集成方案）
检查并强制刷新内核网络转发与 NAT 规则
端口映射本质依赖 net.ipv4.ip_forward=1 和 iptables -t nat 中的 PREROUTING/DOCKER 链：
- 确认转发已开启：sysctl net.ipv4.ip_forward → 输出应为 1
- 若为 0，立即启用：echo 1 > /proc/sys/net/ipv4/ip_forward，并写入 /etc/sysctl.conf 持久化
- 手动触发 Docker 重建 NAT 规则：iptables -t nat -F DOCKER，然后重启 Docker（它会自动补全）
- 验证规则是否存在：iptables -t nat -L DOCKER -n --line-numbers，应看到类似
REDIRECT tcp dpt:8080 to:172.17.0.2:80的条目
必要时重建 Docker 默认桥接网络
旧的 docker0 网桥可能残留异常路由或 ARP 表项，导致新容器端口不通：
- 停 Docker：systemctl stop docker
- 删除网桥：ip link delete docker0
- 清空 iptables nat 表中 Docker 相关链：iptables -t nat -F（谨慎操作，仅限测试环境）
- 启动 Docker：systemctl start docker → 它会自动重建 docker0 并加载基础规则
