如何解决Docker容器中iptables的“Couldn't load match 'conntrack'”错误？

我在Windows 10主机上运行Docker，部署了两个Rust容器，想要在其中一个容器内配置防火墙。

Docker Compose文件内容：

version: '3'
services:
  outer-endpoint:
    image: rust:1.70
    ports:
      # host:container
      - 4488:4488
      - 4466:4466
    command: bash -c "apt update -y && apt upgrade -y &&
             tail -f /dev/null" # 保持容器运行
    volumes: # 绑定挂载
      - 'C:\Users\XXX'
  inner-endpoint:
    image: rust:1.70
    ports:
      - 80:80
    command: bash -c "apt update -y && apt upgrade -y &&
             apt install iptables -y &&
             tail -f /dev/null"
    volumes:
      - 'C:\Users\XXX'
    cap_add: # 赋予iptables所需权限
      - NET_ADMIN
      - NET_RAW

进入容器的命令：

docker exec -it containername bash

容器内执行iptables -P INPUT DROP可正常拒绝入站流量，但执行以下命令时出现错误：

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

错误提示：

iptables v1.8.7 (nf_tables): Couldn't load match `conntrack':No such file or directory

• 安装缺失的依赖包
  容器内缺少conntrack匹配模块的支持包，执行以下命令安装：

apt update && apt install -y iptables-modules-extra conntrack

• 切换iptables到legacy模式（可选）
  部分环境默认使用nf_tables作为iptables后端，该后端对conntrack模块的支持有限，可切换到legacy模式：

update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

• 替代方案：使用state匹配
  如果上述方法无效，可尝试用兼容的state匹配规则代替：

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

安装或切换完成后，重新执行原iptables命令即可生效。

内容的提问来源于stack exchange，提问作者max23