Docker容器内ufw与systemctl命令失效问题求助

处理systemctl无法运行的问题 #

Docker容器默认以sh或bash作为PID 1进程，不支持systemd操作。要让systemd正常工作，需配置容器以systemd为init进程：

• 选用自带systemd的基础镜像（如Ubuntu 22.04、CentOS Stream 9）
• 配置容器环境适配systemd运行逻辑

处理ufw权限报错问题 #

Docker build阶段的临时容器默认没有NET_ADMIN权限，无法直接执行ufw allow这类操作iptables的命令。可改为在build阶段配置ufw规则文件，由systemd在容器启动时自动加载生效。

示例Dockerfile（Ubuntu 22.04） #

FROM ubuntu:22.04

# 安装systemd和ufw依赖
RUN apt-get update && apt-get install -y --no-install-recommends systemd ufw \
    && apt-get clean && rm -rf /var/lib/apt/lists/*

# 配置systemd容器运行环境
ENV container docker
# 屏蔽不必要的systemd服务，避免启动报错
RUN systemctl mask systemd-logind.service systemd-resolved.service

# 写入ufw规则到配置文件（build阶段仅做静态配置，不执行权限敏感的生效命令）
RUN echo "allow 22/tcp" >> /etc/ufw/rules.d/99-custom.rules \
    && echo "allow 80/tcp" >> /etc/ufw/rules.d/99-custom.rules \
    && ufw default deny incoming \
    && ufw default allow outgoing

# 设置systemd自动启动ufw服务
RUN systemctl enable ufw.service

# 将systemd设为容器的PID 1进程
CMD ["/sbin/init"]

容器启动必要参数（无需--privileged） #

启动容器时需挂载systemd依赖的核心目录，否则systemd无法完成初始化：

docker run -d \
  -v /sys/fs/cgroup:/sys/fs/cgroup:ro \
  --tmpfs /run \
  --tmpfs /run/lock \
  <你的镜像名称>

验证方法 #

进入容器后执行以下命令确认状态：

docker exec -it <容器名称> bash
# 查看ufw规则状态
ufw status
# 查看systemd管理的ufw服务状态
systemctl status ufw

内容的提问来源于stack exchange，提问作者Prabu Shankar