如何在Docker容器中读取和追加Iptables规则？

• 赋予容器必要权限
  Docker默认限制容器访问主机iptables，启动容器时需添加权限参数：

  • 全特权模式（权限最高，适合调试）：

    docker run -it --privileged your-image-name /bin/bash
    

  • 精细权限控制（仅添加网络相关权限）：

    docker run -it --cap-add=NET_ADMIN --cap-add=NET_RAW your-image-name /bin/bash
    

• 在容器内安装iptables工具
  多数基础镜像默认未预装iptables，需手动安装：

  • Debian/Ubuntu系列：

    apt update && apt install -y iptables
    

  • Alpine系列：

    apk add iptables
    

  安装完成后执行iptables -L即可查看规则。

• 挂载主机iptables相关文件（无需安装工具）
  可直接挂载主机/proc/net目录到容器，通过读取系统文件获取规则：

  docker run -v /proc/net:/host/proc/net -it your-image-name /bin/bash
  

  进入容器后读取对应文件，例如查看filter表：

  cat /host/proc/net/ip_tables_filter
  

• 检查容器网络模式
  若容器使用--network=host模式，会直接复用主机网络命名空间，此时只要容器内有iptables工具，无需额外权限即可执行iptables -L查看主机规则。

内容的提问来源于stack exchange，提问作者Wajih Haider