Docker.com IPv4频繁变更，寻求单一永久CIDR配置方案

首先明确：Docker官方服务（包括镜像仓库、官网等）的基础设施完全依赖云服务商（AWS、GCP等），不存在专属的、永久不变且不指向云厂商的单一CIDR段。所有公开的Docker服务IP都会随着CDN和基础设施调整频繁变化，无法通过固定CIDR彻底解决维护问题。

以下是几种降低维护成本的可行方案：

1. 用ipset配合nftables实现动态DNS解析 #

ipset支持自动解析域名并维护IP列表，无需手动更新CIDR：

• 安装ipset：apt install ipset
• 创建带自动过期的ipset集合：ipset create docker_services hash:ip family inet timeout 3600（timeout会自动移除过期IP）
• 添加Docker核心服务域名：ipset add docker_services docker.com、ipset add docker_services registry-1.docker.io
• 在nftables配置中直接引用该ipset：

  table inet filter {
    # 允许出站访问Docker服务IP
    rule output ip daddr @ipset docker_services accept
    # 如果仅需镜像拉取，可限制端口
    rule output ip daddr @ipset docker_services tcp dport 443 accept
  }
  

• 添加cron定时任务刷新解析：*/30 * * * * ipset add docker_services docker.com && ipset add docker_services registry-1.docker.io，确保IP列表自动更新

2. 编写自动更新脚本维护nftables集合 #

如果不想依赖ipset，可直接用脚本动态更新nftables的IP集合：

• 创建bash脚本update_docker_nft.sh：

  #!/bin/bash
  NFT_TABLE="inet filter"
  NFT_SET="docker_ips"
  
  # 获取Docker核心域名的有效IPv4地址
  DOCKER_IPS=$(dig +short docker.com registry-1.docker.io | grep -E '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+' | tr '\n' ',')
  
  # 清空旧IP并添加新IP到集合
  nft flush set $NFT_TABLE $NFT_SET
  nft add element $NFT_TABLE $NFT_SET { $DOCKER_IPS }
  

• 赋予执行权限：chmod +x update_docker_nft.sh
• 添加cron定时任务，每小时执行一次：0 * * * * /path/to/update_docker_nft.sh

3. 缩小规则范围减少维护压力 #

如果仅需Docker镜像拉取功能，无需开放整个docker.com域名的所有端口：

• 在nftables规则中仅允许出站到443端口的Docker服务IP，减少不必要的IP暴露范围，降低维护频率：

  rule output ip daddr @docker_ips tcp dport 443 accept
  

内容的提问来源于stack exchange，提问作者DieterH