安装Docker的Linux服务器iptables INPUT规则配置失效求助

核心原因：Docker会自动修改iptables规则，直接修改INPUT默认策略会破坏Docker的流量处理逻辑，且规则顺序、必要流量放行缺失也会导致问题 #

Docker启动后会自动创建DOCKER、DOCKER-USER等自定义链，并在INPUT、PREROUTING等核心链中插入规则，将容器相关流量转发到这些自定义链处理。你直接将INPUT默认策略设为DROP，且未考虑以下几点，导致信任IP流量被阻断：

• 规则顺序错误：iptables按从上到下的顺序匹配规则，如果你在Docker插入规则之后才添加信任IP的ACCEPT规则，流量可能先被Docker的未匹配规则或默认DROP拦截，根本轮不到你的ACCEPT规则生效。
• 未放行必要本地流量：未放行lo（本地回环）接口的流量，会导致Docker daemon与本地服务、容器之间的通信中断，进而影响外部访问。
• 忽略容器端口转发的流量路径：外部访问容器端口时，流量会经Docker的PREROUTING链转发，INPUT链的默认DROP可能阻断这类流量的后续处理。

正确的解决方案（优先使用Docker官方推荐的DOCKER-USER链） #

DOCKER-USER链是Docker预留的自定义规则链，所有容器相关流量都会先经过这个链，且Docker重启或升级不会覆盖该链的规则，是添加自定义访问控制的安全位置。

1. 先恢复INPUT默认策略（避免服务器失联）

iptables -P INPUT ACCEPT

2. 添加自定义规则到DOCKER-USER链

# 放行本地回环流量（必须，保障Docker自身通信）
iptables -A DOCKER-USER -i lo -j ACCEPT

# 放行信任IP段的所有流量（替换为你的实际IP段，比如192.168.0.0/24）
iptables -A DOCKER-USER -s 192.168.0.0/24 -j ACCEPT

# 放行已建立/相关联的连接（避免中断现有正常连接）
iptables -A DOCKER-USER -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# 设置DOCKER-USER链默认策略为DROP（拒绝所有未匹配的流量）
iptables -P DOCKER-USER DROP

3. 保存规则（避免重启服务器后失效）

• Debian/Ubuntu系统：

  iptables-save > /etc/iptables/rules.v4
  

• CentOS/RHEL系统：

  service iptables save
  

关键注意事项 #

• 不要直接修改Docker自动生成的DOCKER、DOCKER-ISOLATION-*等链，这些链会在Docker重启时被覆盖。
• 如果必须修改INPUT链，要确保在Docker启动之前添加ACCEPT规则，且必须放行lo接口和Docker相关的端口（如Docker daemon默认的2375/2376端口），但这种方式维护成本高，不推荐。

内容的提问来源于stack exchange，提问作者Donghua Liu