Debian 11 (bullseye)下Docker Compose端口及容器联网故障求助

两个故障均由/etc/docker/daemon.json中配置"iptables": false直接触发，Docker默认依赖iptables实现容器网络的地址转换、端口转发等核心能力，关闭该选项后Docker不会自动维护相关网络规则，引发异常：

• 故障1（5050端口连接挂起）：关闭Docker iptables支持后，宿主机到pgadmin4容器的5050→443端口DNAT转发规则缺失，虽然宿主机已经监听5050端口，但外部流量无法转发到容器内部，因此连接持续挂起。服务器重启后iptables临时规则清空，问题必现；偶尔恢复是因为此前操作中可能临时添加过转发规则尚未失效。
• 故障2（容器无法ping通外网）：关闭Docker iptables支持后，自定义网桥leitfeld-net的SNAT转发规则缺失，容器发出的外网访问流量无法通过宿主机做地址转换，自然无法收到响应。同时你配置的DNS包含默认网桥网关172.17.0.1，与当前使用的自定义网桥网段不匹配，也会加剧网络访问异常。

推荐方案：保留Docker iptables能力，配置Docker与UFW共存 #

如果你是为了避免Docker自动开放端口绕过UFW才关闭iptables，该方案既可以保留Docker自动维护网络规则的能力，又可以正常用UFW管控外部访问权限：

1. 修改/etc/docker/daemon.json，删除"iptables": false配置，同时移除不匹配的默认网桥DNS：

   {
     "dns": [
           "8.8.8.8",
           "8.8.4.4"
     ]
   }
   

2. 开启UFW的IP转发支持，编辑/etc/ufw/sysctl.conf，确认以下参数为开启状态：

   net/ipv4/ip_forward=1
   net/ipv6/conf/default/forwarding=1
   net/ipv6/conf/all/forwarding=1
   

3. 在UFW规则中添加Docker NAT规则，编辑/etc/ufw/after.rules，在文件末尾追加如下内容：

   *nat
   :POSTROUTING ACCEPT [0:0]
   -A POSTROUTING ! -o docker0 -s 172.16.0.0/12 -j MASQUERADE
   COMMIT
   

4. 重载所有配置并重启服务：

   sysctl -p /etc/ufw/sysctl.conf
   ufw reload
   systemctl restart docker
   cd 你的docker-compose.yml所在目录
   docker-compose up -d --force-recreate
   

5. 手动在UFW中开放需要对外暴露的端口：

   ufw allow 5050/tcp
   ufw allow 80/tcp
   ufw allow 443/tcp
   # 其他需要对外暴露的端口按需添加即可
   

配置完成后两个故障会同步解决，Docker自动维护端口转发和容器外网访问规则，UFW可正常管控端口的外部访问权限。

备用方案：保留"iptables": false配置，手动维护iptables规则 #

如果你确实需要关闭Docker的iptables能力，可手动添加规则解决问题，该方案维护成本较高，仅适合特殊场景使用：

1. 先查询自定义网桥网段和pgadmin4容器IP：

   # 查询leitfeld-net网段
   docker network inspect leitfeld-net | grep Subnet
   # 查询pgadmin4容器IP
   docker inspect -f '{{range.NetworkSettings.Networks}}{{.IPAddress}}{{end}}' pgadmin4-connexx
   

2. 添加SNAT规则解决容器外网访问问题，替换下方占位符为上一步查询到的实际网段：

   iptables -t nat -A POSTROUTING -s 【leitfeld-net实际网段】 ! -o leitfeld-net -j MASQUERADE
   

3. 添加DNAT规则解决5050端口转发问题，替换下方占位符为上一步查询到的pgadmin4容器IP：

   iptables -t nat -A PREROUTING -p tcp --dport 5050 -j DNAT --to-destination 【pgadmin4容器IP】:443
   iptables -t nat -A OUTPUT -p tcp --dport 5050 -j DNAT --to-destination 【pgadmin4容器IP】:443
   

4. 将上述iptables规则写入/etc/rc.local或者通过iptables-save工具持久化，避免服务器重启后规则丢失。

内容的提问来源于stack exchange，提问作者Pentolone