求助：使用firewalld无法向无根Podman容器转发流量

核心问题分析 #

你遇到的问题根源有两点：

1. 本地回环（127.0.0.1）的流量默认不走firewalld的FORWARD链，你添加的forward-port规则只对外部接口进来的流量生效，对本地发起的curl 127.0.0.1:80请求无效。
2. 无根Podman默认无法直接绑定1024以下端口，这也是你先用10080端口的原因，但防火墙转发需要针对不同流量链做配置。

可行解决方案 #

方案一：调整firewalld规则覆盖本地回环流量 #

firewalld的forward-port不处理本地回环的OUTPUT链流量，需要用rich规则补充：

1. 先开启masquerade（确保转发流量能正确返回）：

   sudo firewall-cmd --add-masquerade --permanent
   sudo firewall-cmd --reload
   

2. 添加针对本地回环的转发规则：

   sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="127.0.0.1/32" destination address="127.0.0.1/32" port port="80" protocol="tcp" forward-port to-port="10080"' --permanent
   

3. （可选）如果需要接收外部主机的80端口流量，再保留原转发规则：

   sudo firewall-cmd --add-forward-port=port=80:proto=tcp:toport=10080:toaddr=127.0.0.1 --permanent
   

4. 重新加载firewalld：

   sudo firewall-cmd --reload
   

此时再测试curl http://127.0.0.1:80应该就能正常转发了。

方案二：直接用iptables配置全链路转发 #

如果firewalld的规则不够灵活，直接操作iptables的nat链，覆盖外部和本地流量：

# 转发外部进入的80端口流量到10080
sudo iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 127.0.0.1:10080
# 转发本地发起的80端口流量到10080
sudo iptables -t nat -A OUTPUT -p tcp --dport 80 -j DNAT --to-destination 127.0.0.1:10080
# 确保转发后的流量能返回
sudo iptables -t nat -A POSTROUTING -p tcp --dport 10080 -j MASQUERADE

如果需要规则永久生效，执行sudo iptables-save > /etc/sysconfig/iptables（适用于RHEL/CentOS系），其他发行版可使用对应的iptables保存工具。

方案三：让无根Podman直接绑定80端口（推荐） #

如果不想折腾转发规则，可以修改系统参数允许无根用户绑定低端口：

1. 编辑/etc/sysctl.conf，添加一行：

   net.ipv4.ip_unprivileged_port_start=80
   

2. 生效配置：

   sudo sysctl -p
   

3. 重新启动容器时直接映射80端口：

   podman run -d -p 0.0.0.0:80:80 --name your-container your-image
   

这样容器的服务直接通过主机80端口对外，不需要任何转发规则。

内容的提问来源于stack exchange，提问作者Torque