CentOS7.9/Rocky Linux8.8容器导出后iptables无法运行求助

问题描述 #

在Ubuntu 22.04机器上构建CentOS 7或Rocky Linux 8.7+镜像，安装iptables后导出镜像，在另一台机器的Docker中运行时，执行iptables -nL报错：

iptables v1.4.21: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

已使用--privileged参数启动容器，仍无法解决。

可行解决方法 #

1. 切换目标宿主机的iptables模式到legacy #

目标宿主机（运行容器的机器）可能默认采用nftables框架，而CentOS 7的iptables是传统legacy版本，二者不兼容：

• 查看宿主机当前iptables后端选项：

  update-alternatives --list iptables
  

• 若输出包含/usr/sbin/iptables-legacy，切换到legacy模式：

  update-alternatives --set iptables /usr/sbin/iptables-legacy
  update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
  

• 重启Docker服务让配置生效：

  systemctl restart docker
  

2. 在Rocky Linux 8.7+容器内改用nftables兼容版本 #

Rocky Linux 8默认支持nftables，可替换legacy iptables为兼容版本，在Dockerfile中添加：

RUN dnf install -y nftables && \
    update-alternatives --set iptables /usr/sbin/iptables-nft && \
    update-alternatives --set ip6tables /usr/sbin/ip6tables-nft

重新构建镜像后导出运行即可。

3. 确保目标宿主机加载必要内核模块 #

• 检查宿主机是否加载iptables相关模块：

  lsmod | grep ip_tables
  

• 若未加载，手动加载：

  modprobe ip_tables
  modprobe ip6_tables
  modprobe iptable_filter
  

• 为了开机自动加载，创建/etc/modules-load.d/iptables.conf文件并写入：

  ip_tables
  ip6_tables
  iptable_filter
  

4. 配置Docker使用legacy iptables #

• 编辑Docker配置文件/etc/docker/daemon.json（不存在则新建）：

  {
    "iptables": true,
    "legacy-iptables": true
  }
  

• 重启Docker服务：

  systemctl daemon-reload
  systemctl restart docker
  

内容的提问来源于stack exchange，提问作者codevb