Docker与iptables-persistent冲突导致连接异常求助

兄弟，我之前也踩过Docker和iptables-persistent冲突的坑，刚好你的症状（所有网站报502 ProxyError）和我当时一模一样！给你梳理下排查和解决的步骤：

先确认是不是iptables规则冲突搞的鬼 #

Docker会自动在iptables里添加转发规则，让主机上的Apache能正常访问容器，但iptables-persistent开机时会加载预先保存的规则，很容易把Docker自动生成的规则覆盖掉，导致反向代理连不上容器。

你可以先做这几步排查：

• 查看当前iptables的FORWARD链规则，运行命令：

  iptables -L FORWARD -n -v
  

  如果看到FORWARD链默认是DROP，或者没有任何带docker0相关的ACCEPT规则，那基本实锤是规则冲突了。
• 临时重启Docker服务试试：

  systemctl restart docker
  

  重启后再访问网站，如果502消失了，那百分百是iptables-persistent的锅。

解决规则冲突的两种方法 #

方法一：让iptables-persistent兼容Docker规则 #

如果你需要保留iptables-persistent的自定义规则，可以修改持久化规则文件，把Docker需要的转发规则加进去：

1. 编辑IPv4规则文件（如果是IPv6对应rules.v6）：

   nano /etc/iptables/rules.v4
   

2. 在文件末尾添加以下规则（适配Docker默认的网桥网段172.17.0.0/16，如果你的Docker网段改了，记得替换成对应的）：

   -A FORWARD -d 172.17.0.0/16 ! -i docker0 -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
   -A FORWARD -s 172.17.0.0/16 -i docker0 ! -o docker0 -j ACCEPT
   -A FORWARD -i docker0 -o docker0 -j ACCEPT
   

3. 保存规则并重启服务：

   iptables-save > /etc/iptables/rules.v4
   systemctl restart netfilter-persistent docker
   

   （注：部分系统里服务名是iptables-persistent，如果上面命令报错，换成systemctl restart iptables-persistent docker）

方法二：直接禁用iptables-persistent（如果不需要自定义规则） #

如果你没有需要持久化的自定义iptables规则，最简单的办法就是禁用它的自动加载：

systemctl disable --now netfilter-persistent

然后重启Docker，让它重新生成正确的转发规则，之后Apache反向代理应该就能正常连接容器了。

额外验证：排除Apache配置问题 #

万一上面的方法没用，建议先排除Apache本身的问题：

• 在主机上直接curl容器的IP和端口，比如：

  curl http://172.17.0.2:80
  

  如果能正常返回网站内容，那问题还是在网络规则上；如果curl也失败，那得检查容器是否正常启动、端口映射是否正确。

备注：内容来源于stack exchange，提问作者Bojan Hrnkas