iptables FORWARD链流量同时路由至两个不同链的疑问及Docker容器WAN访问故障排查

嘿，我来帮你理清这里的两个核心问题——先解释你对FORWARD链规则流量的疑惑，再解决Docker容器没法从WAN访问的故障。

关于FORWARD链前两条规则都有流量的原因 #

你可能误解了iptables链跳转的逻辑：当你用-j跳转到其他链时，只要目标链没有用DROP/REJECT终止流量，也没有显式RETURN到原链的末尾，流量会回到原链继续匹配下一条规则。

看你的iptables输出：

• FORWARD链第一条规则把所有1400K流量跳转到DOCKER-USER链
• 进入DOCKER-USER后，只有236包被最后那条REJECT规则拦截，剩下的1397K流量通过RETURN回到了FORWARD链
• 回到FORWARD链后，这些流量就匹配到了第二条规则，被跳转到DOCKER-ISOLATION-STAGE-1链

所以这不是“同时路由”，而是流量走完DOCKER-USER链（除了被拦截的部分）后，继续按FORWARD链的规则顺序往下走，这就解释了两条规则的流量数几乎相等的原因。

Docker容器无法从WAN访问的故障排查 #

看DOCKER-USER链里的这条规则：

236 59251 REJECT     all  --  eth0   docker0  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

这条规则直接拒绝了所有从WAN口（eth0）发往docker0网桥的流量，而你的Portainer（172.17.0.2）和Nginx Proxy Manager（172.17.0.3）都在docker0网段里，所以WAN过来的请求还没到DOCKER链的ACCEPT规则就被拦截了。

解决方法 #

要允许WAN访问这些容器，你需要在这条REJECT规则之前添加允许特定端口的规则（因为iptables是按顺序匹配的，先匹配到允许规则就不会走到REJECT）。比如：

# 允许WAN访问Portainer的9443和8000端口
iptables -I DOCKER-USER -i eth0 -o docker0 -d 172.17.0.2 -p tcp --dport 9443 -j ACCEPT
iptables -I DOCKER-USER -i eth0 -o docker0 -d 172.17.0.2 -p tcp --dport 8000 -j ACCEPT

# 允许WAN访问Nginx Proxy Manager的80、443、81端口
iptables -I DOCKER-USER -i eth0 -o docker0 -d 172.17.0.3 -p tcp --dport 80 -j ACCEPT
iptables -I DOCKER-USER -i eth0 -o docker0 -d 172.17.0.3 -p tcp --dport 443 -j ACCEPT
iptables -I DOCKER-USER -i eth0 -o docker0 -d 172.17.0.3 -p tcp --dport 81 -j ACCEPT

如果你的路由器做了端口转发（把WAN端口映射到容器端口），还要确保DNAT规则已经正确配置，并且转发后的流量能被上述规则允许。

另外提醒一下：Docker默认的端口映射会自动在DOCKER链添加ACCEPT规则，但自定义的DOCKER-USER规则优先级更高，所以必须手动放行WAN到容器的流量。

备注：内容来源于stack exchange，提问作者theta0