Docker构建镜像报unable to locate package wkhtmltopdf网络异常

报错由两个独立问题叠加导致：

1. Docker容器网络存在DNS解析故障：Debian 10默认采用nftables作为防火墙框架，低版本Docker默认仅配置iptables规则，无法自动同步nftables的转发、NAT策略，直接导致容器无法正常连通外部网络，域名解析超时。排查时看到的Temporary failure resolving 'deb.debian.org'、容器内nslookup请求超时都是该问题的直接表现。宿主机本身网络栈与容器隔离、配置正常，所以宿主机直接执行apt安装不会报错。
2. Docker构建缓存干扰排查：构建日志中RUN apt-get update步骤显示Using cache，说明该步骤没有实际执行软件源索引更新，直接复用了之前网络异常时生成的损坏/不完整的旧缓存层，后续安装包时自然无法检索到wkhtmltopdf。

按以下顺序操作即可解决问题：

• 修复Docker与nftables的兼容性问题，恢复容器外网连通性
  执行命令将iptables切换为legacy版本，适配Docker的规则配置逻辑：

  update-alternatives --set iptables /usr/sbin/iptables-legacy
  update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy
  

  执行完成后重启Docker服务：

  systemctl restart docker
  

  验证修复效果：执行docker run --rm busybox nslookup deb.debian.org，如果能正常返回域名对应的解析IP，说明容器网络已经恢复正常。
• 清理异常构建缓存，重新构建镜像
  之前生成的apt缓存层已经损坏，必须跳过缓存重新执行构建流程：

  docker builder prune -af
  # 使用docker-compose部署时执行
  docker compose build --no-cache backend
  # 直接使用docker build构建时，在Dockerfile所在目录执行build命令追加--no-cache参数即可
  

• 长期优化建议：调整Dockerfile中apt相关指令的写法，避免后续再出现缓存导致的源索引与安装步骤不匹配问题，对应片段修改如下：

  # Install wkhtmltopdf
  RUN apt-get update && apt-get install -y --no-install-recommends wkhtmltopdf \
      && rm -rf /var/lib/apt/lists/*
  

  该写法把源索引更新和软件包安装合并到同一条RUN指令，能保证每次安装前都会拉取最新的源索引，安装完成后自动清理apt缓存文件，还能减小最终镜像体积。

内容的提问来源于stack exchange，提问作者JoniLieh