无法为Docker容器正确添加iptables防火墙规则的问题排查

问题原因 #

• 缺少连接状态匹配规则：当前仅放行指定IP的新入站请求，未匹配RELATED（相关连接，如FTP被动模式）、ESTABLISHED（已建立连接）的流量，容器回包无法通过规则校验，被最后的DROP规则拦截，导致TCP握手无法完成，所有IP都无法建立有效连接。
• 未放行本地/内部通信流量：规则未排除宿主机本地回环、Docker内部容器间通信流量，这类流量的源IP非指定的公网IP，直接被拦截，哪怕宿主机本地访问容器也会失败。
• 次要可选原因：如果配置时多IP之间加了空格、IP格式错误，也会导致白名单规则不生效，不过这种情况通常执行命令时会有明确报错提示。

解决方法 #

首先重置现有错误的DOCKER-USER链规则：

iptables -F DOCKER-USER

再按顺序执行以下配置命令：

1. 优先放行已建立、相关连接的流量，避免回包被拦截：

iptables -I DOCKER-USER -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

2. 放行宿主机本地回环接口的流量，保证本地访问容器正常：

iptables -I DOCKER-USER -i lo -j ACCEPT

3. 添加指定白名单IP的放行规则，多个IP用英文逗号分隔，不要加空格：

iptables -A DOCKER-USER -s xx.xx.xx.xx,yy.yy.yy.yy -j ACCEPT

4. 最后添加默认拒绝所有未匹配流量的规则：

iptables -A DOCKER-USER -j DROP

配置完成测试访问正常后，需保存iptables规则避免服务器重启后规则丢失：

• Debian/Ubuntu系统执行：iptables-save > /etc/iptables/rules.v4
• CentOS/RHEL系统执行：service iptables save

内容的提问来源于stack exchange，提问作者ー PupSoZeyDe ー