CentOS 8下Nginx Docker容器无法开机自启问题排查求助

我之前也碰到过类似的Docker容器开机自启异常的问题，结合你的场景和CentOS 8环境，咱们一步步排查可能的原因：

1. 先确认Docker服务本身的开机自启状态 #

如果Docker服务都没设置开机启动，那所有容器肯定都没法随系统启动。执行下面的命令检查：

systemctl is-enabled docker

如果输出不是enabled，赶紧设置Docker开机自启：

systemctl enable --now docker

2. 理解--restart=on-failure的局限性 #

这个参数的逻辑是只有当容器启动失败（退出码非0）或者运行中异常退出时才会重启，但如果容器开机时因为依赖资源未就绪（比如挂载目录没准备好、后端服务还没起来）导致启动后立刻退出，但退出码是0的话，它不会触发重启；或者容器其实启动成功了，但因为网络问题无法提供服务，也不会触发重启。

你可以先把重启策略改成always或者unless-stopped试试，排除这个参数的判断逻辑问题：
先停止并删除现有容器：

docker stop nginx && docker rm nginx

然后用新的重启参数重新启动：

docker run --name nginx  --restart=always --detach --mount type=bind,source=/etc/ssl,target=/etc/ssl,readonly --mount type=bind,source=/etc/pki,target=/etc/pki,readonly --mount type=bind,source=/etc/letsencrypt,target=/etc/letsencrypt,readonly -p 443:443 -d nginx

重启系统后看容器是否正常启动。

3. 排查容器启动失败的真实原因 #

你说docker logs nginx只有关机前的日志，那是因为容器没成功启动，没有新的日志输出。可以通过以下方式找启动失败的原因：

• 查看容器状态和退出码：

docker ps -a

看nginx容器的状态是Exited还是其他，以及对应的退出码。

• 用docker inspect查看容器的启动错误信息：

docker inspect nginx | grep -A 10 "State"

这里会显示容器的退出码、错误信息（如果有的话）。

• 手动尝试启动容器并实时查看日志：

docker start nginx && docker logs -f nginx

这时候能看到容器启动瞬间的日志，可能会暴露权限问题、证书文件缺失、配置错误等问题。

4. 检查挂载目录的权限和可用性问题 #

你的容器挂载了三个主机目录：/etc/ssl、/etc/pki、/etc/letsencrypt，这些目录在开机时可能存在问题：

• 存储设备挂载顺序：如果这些目录所在的磁盘是外部存储，可能开机时还没完成挂载，导致容器启动时找不到目录。可以检查/etc/fstab里的挂载配置，确保存储设备在Docker服务启动前挂载完成。
• SELinux限制：CentOS 8默认开启SELinux，它会阻止Docker容器访问主机目录。可以临时关闭SELinux测试：

setenforce 0

然后重启容器：

docker restart nginx

如果容器能正常启动，那就是SELinux的问题。可以给挂载目录添加合适的SELinux上下文：

chcon -Rt svirt_sandbox_file_t /etc/ssl /etc/pki /etc/letsencrypt

之后再开启SELinux：

setenforce 1

• 文件权限：容器内的Nginx进程默认以nginx用户（UID/GID通常是101/101）运行，需要确保主机上的证书文件和目录能被这个用户读取。执行下面的命令检查权限：

ls -l /etc/letsencrypt/live/myurl.net/
ls -l /etc/ssl/certs/my_ca.crt

如果权限不足，可以调整文件权限或者在启动容器时指定--user root临时测试（不推荐长期用root运行）。

5. 网络和后端服务依赖问题 #

你的Nginx配置里代理到http://172.17.0.1:8080，这是Docker默认网桥的网关（指向主机）。开机时可能存在两个问题：

• 后端服务未启动：如果主机上的8080服务或者对应的后端容器还没启动，Nginx启动时虽然不会因为这个直接退出，但如果你的配置里有强制检查后端的逻辑（不过默认没有），可能会导致容器异常。但Nginx默认是启动后才会尝试连接后端，所以这个通常不会导致容器启动失败，但会导致服务不可用。你可以在开机后手动检查8080端口是否已经监听：

ss -tulpn | grep 8080

• Docker网络未就绪：开机时Docker的默认网桥可能还没完全初始化，导致Nginx容器无法正常访问172.17.0.1。这种情况可以尝试给容器添加网络依赖，或者用自定义网桥代替默认网桥，自定义网桥的稳定性更好。

6. 用Systemd管理容器（可选） #

如果以上方法都不行，可以考虑用Systemd直接管理这个Nginx容器，确保它在Docker服务和网络就绪后启动。创建一个/etc/systemd/system/nginx-docker.service文件：

[Unit]
Description=Nginx Docker Container
After=docker.service network.target
Requires=docker.service

[Service]
Restart=always
ExecStart=/usr/bin/docker start -a nginx
ExecStop=/usr/bin/docker stop -t 2 nginx

[Install]
WantedBy=multi-user.target

然后重新加载Systemd配置并设置开机自启：

systemctl daemon-reload
systemctl enable nginx-docker.service

这样Systemd会负责在合适的时机启动容器，并且自动重启容器。

内容的提问来源于stack exchange，提问作者Rob