使用iptables限制入站流量时Pterodactyl的Docker镜像拉取超时问题

问题原因分析 #

你遇到的超时问题核心在于：Docker拉取镜像时会发起出站的HTTPS请求（目标端口443），而这些请求的响应属于入站流量，但你的当前iptables规则没有允许这类"已建立连接的响应流量"，导致响应被REJECT规则直接拦截，系统只能一直等待直到超时。

你的INPUT链里只放行了固定端口的入站请求和本地回环，却漏掉了最重要的：允许本机主动发起的连接的响应流量——这是大多数正常网络通信的基础。

解决办法 #

你需要在INPUT链的所有REJECT/DROP规则之前，添加一条允许已建立/相关连接入站的规则。这条规则会让iptables放行那些由本机主动发起的连接的响应流量，比如Docker拉镜像时的HTTPS响应。

具体修改步骤

1. 先添加这条关键规则（执行命令时要确保在-A INPUT -j REJECT之前生效）：

iptables -I INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

这里用-I（插入）而不是-A（追加），是为了让这条规则优先级高于后面的REJECT规则，确保响应流量先被放行。

2. 保存iptables规则（根据你的系统环境，常用命令如iptables-save > /etc/iptables/rules.v4）。

修改后的完整iptables filter链示例 #

我调整了你的规则顺序，把核心允许规则放在最前面（保证匹配优先级）：

*filter
:INPUT ACCEPT [29875:3958669]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [263459:37321297]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
# 核心修复：允许已建立/相关连接的入站响应流量
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# 允许本地回环接口流量
-A INPUT -i lo -j ACCEPT
# 放行你需要的固定端口入站请求
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 20 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2022 -j ACCEPT
# 最后拒绝其他未匹配的入站流量
-A INPUT -j REJECT --reject-with icmp-port-unreachable
# 以下Docker转发规则保持不变
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o pterodactyl0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o pterodactyl0 -j DOCKER
-A FORWARD -i pterodactyl0 ! -o pterodactyl0 -j ACCEPT
-A FORWARD -i pterodactyl0 -o pterodactyl0 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -i pterodactyl0 ! -o pterodactyl0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -o pterodactyl0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT

验证方法 #

添加规则后，直接尝试拉取Pterodactyl镜像测试：

docker pull ghcr.io/pterodactyl/yolks:java_17

如果规则生效，你会看到和之前无限制时一样的进度输出，不会再出现超时无响应的情况。

额外提醒 #

1. 规则顺序是关键：iptables按从上到下的顺序匹配规则，所以允许类规则一定要放在拒绝/丢弃规则前面，否则会被后面的拦截规则优先匹配。
2. 你的OUTPUT链当前默认是ACCEPT，所以Docker发起出站请求没问题；如果以后修改OUTPUT链的默认规则，也要记得添加允许已建立连接的规则。

备注：内容来源于stack exchange，提问作者setpopa