Firefox容器流量经Wireguard转发且WAN可访问5800端口的配置问题

问题分析 #

启动报错的核心原因是：当Firefox容器使用network_mode: service:wireguard时，它会完全复用Wireguard容器的网络栈，此时不能在Firefox服务中独立声明端口映射，所有端口转发必须配置在Wireguard服务里。

同时，当前Wireguard的AllowedIPs = 0.0.0.0/0会让所有流量（包括外部访问Firefox的响应流量）都走Wireguard隧道，导致WAN端无法正常收到Firefox的GUI响应，需要调整路由规则排除本地/主机相关流量。

解决方案 #

1. 修正docker-compose.yml

将Firefox的端口映射移到Wireguard服务中，同时确保开启IP转发：

version: "3.5"
services:
  wireguard:
    image: lscr.io/linuxserver/wireguard
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=America/New_York
    volumes:
      - ./wg-server:/config
      - /lib/modules:/lib/modules
    ports:
      - 8080:8080
      - 5800:5800  # 将Firefox的端口映射移至此处
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv4.ip_forward=1  # 强制开启IP转发，确保流量能正常转发
    restart: unless-stopped
  firefox:
    image: jlesage/firefox
    network_mode: "service:wireguard"  # 复用Wireguard的网络栈
    volumes:
      - "./firefox:/config:rw"
    restart: unless-stopped

2. 调整Wireguard的路由规则

修改wg0.conf的AllowedIPs，排除主机所在局域网段和主机WAN IP，确保外部访问Firefox的响应流量不走Wireguard隧道：

[Interface]
PrivateKey = AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==
Address = 10.0.1.2/32
MTU = 1420

[Peer]
PublicKey = BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB==
# 格式：0.0.0.0/0 表示所有流量走Wireguard，!前缀表示排除指定网段
AllowedIPs = 0.0.0.0/0, !192.168.1.0/24, !123.45.67.89/32
Endpoint = ENDPOINT_IP:PORT
PersistentKeepalive = 25

• 替换192.168.1.0/24为你的主机局域网网段（可通过主机ip addr命令查看）
• 替换123.45.67.89/32为你的主机WAN公网IP

验证步骤 #

1. 停止现有容器：docker-compose down
2. 启动修改后的容器：docker-compose up -d
3. 检查Wireguard连接状态：docker exec -it wireguard wg，确认latest handshake显示正常
4. 通过WAN访问http://<主机WAN IP>:5800，验证Firefox GUI可正常打开
5. 在Firefox中访问IP查询网站，确认出站IP为Wireguard节点IP，验证流量转发生效

内容的提问来源于stack exchange，提问作者SMN