firewalld与Docker结合时为何无法允许HTTPS连接？

问题现状 #

• 环境：openSUSE（LEAP/Tumbleweed，已全量更新）、Linode服务器，Nginx托管Next.js应用，Docker运行RESTful API（路径subdomain.domain.com/api）
• 现象：HTTP访问完全正常，HTTPS访问持续超时；停止firewalld服务后，HTTPS访问立即恢复正常
• 已执行操作：通过firewalld CLI给docker区域添加http、https服务及443/tcp端口，重载规则后无效；sudo lsof -i :443显示有4个Nginx进程在监听443端口

排查步骤与解决方法 #

1. 确认Nginx绑定的网络区域 #

firewalld规则按区域生效，先检查Nginx使用的网卡所属firewalld区域：

firewall-cmd --get-active-zones

输出会显示各区域对应的网卡（例如public区域绑定eth0）。如果Nginx的网卡不在docker区域，给docker区域加规则完全无效，需给实际绑定的区域（如public）配置规则。

2. 给目标区域开放HTTPS规则 #

假设网卡属于public区域，先查看该区域已开放的服务和端口：

firewall-cmd --zone=public --list-services
firewall-cmd --zone=public --list-ports

如果https服务或443/tcp不在列表中，执行以下命令添加：

# 临时生效（重启firewalld后失效）
firewall-cmd --zone=public --add-service=https
firewall-cmd --zone=public --add-port=443/tcp
# 永久生效
firewall-cmd --zone=public --add-service=https --permanent
firewall-cmd --zone=public --add-port=443/tcp --permanent
# 重载规则
firewall-cmd --reload

3. 解决Docker与firewalld的规则冲突 #

Docker启动时会自动修改iptables规则，可能和firewalld规则冲突。可调整Docker配置：

• 新建/编辑Docker配置文件/etc/docker/daemon.json，添加内容：

{
  "iptables": false
}

• 重启Docker和firewalld：

systemctl restart docker
systemctl restart firewalld

注意：关闭Docker的iptables自动配置后，容器端口转发规则需手动通过firewalld配置。

4. 验证端口连通性与云防火墙 #

• 服务器本地测试443端口：

curl -I https://subdomain.domain.com

如果本地能通但外部不通，检查Linode后台的云防火墙规则，确认443端口已开放。

5. 通过日志定位拒绝规则 #

启用firewalld日志排查被阻止的流量：

# 临时开启拒绝日志
firewall-cmd --set-log-denied=all
# 实时查看日志
journalctl -u firewalld -f

从外部发起HTTPS请求，根据日志中的拒绝记录调整对应规则。

内容的提问来源于stack exchange，提问作者TubaControl