Iptables缺失DOCKER链导致Etherpad容器启动失败如何解决？

问题根因 #

该报错并非9001端口占用导致，本质是Docker维护的iptables NAT表中DOCKER链或对应自定义网桥的规则丢失，通常由防火墙服务重载、手动修改iptables规则触发，Docker插入的自定义规则被清空后无法为容器配置端口映射。

解决方案 #

方案1：修复Docker的iptables链（无需重启Docker服务，不影响其他运行中容器） #

• 先备份当前iptables规则，避免操作失误：
  iptables-save > /var/tmp/iptables_bak_$(date +%s)
• 手动创建缺失的DOCKER链，若提示已存在可直接跳过：
  iptables -t nat -N DOCKER
• 执行以下命令补全DOCKER链的关联规则，命令中网段、网桥名和报错信息中对应值保持一致即可：

iptables -t nat -A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
iptables -t nat -A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
iptables -t nat -A POSTROUTING -s 172.21.0.0/16 ! -o br-97eb28b9d479 -j MASQUERADE
iptables -t nat -A DOCKER -i br-97eb28b9d479 -j RETURN

• 操作完成后重新启动Etherpad容器即可。

方案2：重建对应Docker网桥（适用于方案1无效，仅影响该网桥下的容器） #

报错中的br-97eb28b9d479是docker-compose创建的自定义网桥，规则损坏时可直接删除重建：

• 先停止该网桥下所有运行中的容器：
  docker stop $(docker network inspect -f '{{range .Containers}}{{.Name}} {{end}}' br-97eb28b9d479)
• 删除损坏的自定义网桥：
  docker network rm br-97eb28b9d479
• 重新启动Etherpad对应的docker-compose服务，会自动重建符合规则的网桥：
  docker-compose up -d

方案3：避免问题复发 #

如果服务器开启了firewalld、ufw等防火墙服务，重载防火墙时会清空Docker插入的iptables规则，可通过对应配置避免：

• 若使用firewalld：将Docker相关网桥加入可信域

firewall-cmd --permanent --zone=trusted --add-interface=docker0
firewall-cmd --permanent --zone=trusted --add-interface=br-97eb28b9d479
firewall-cmd --reload

• 若使用ufw：编辑/etc/ufw/sysctl.conf开启IP转发，同时在/etc/ufw/after.rules末尾添加Docker规则保留配置，避免ufw重载时清空Docker相关规则。

内容的提问来源于stack exchange，提问作者Bangs