centos防火墙状态更改引起的docker网络问题的半解决方案

最新推荐文章于 2025-03-29 17:25:19 发布
最新推荐文章于 2025-03-29 17:25:19 发布
阅读量3.3k 收藏 5
点赞数 1
CC 4.0 BY-SA版权
分类专栏： FABRIC
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42750537/article/details/101449965
本文探讨了在CentOS系统中运行Docker时遇到的防火墙规则与Docker网络通信冲突的问题，提供了一种通过手动配置防火墙NAT规则或将iptables规则持久化的解决方案，确保在防火墙常开的生产环境下，Docker容器间网络通信不受影响。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

one

在centos系统运行docker时发现，防火墙状态发生变化的时候，docker之间的网络通信会收到影响，上网查找资料原因是：在宿主机上配置到容器的NAT（docker run -p）时，Docker会自动配置宿主机的防火墙NAT规则，但是这些规则并不会持久化到防火墙配置文件，重启防火墙后这些规则都将消失，直接导致运行的容器访问失效。

最简单的解决办法

是重启docker，让docker的规则再加载一次。

但是在生成环境下很经常性的重启docker明显是不可取的，那么怎样解决这个问题呢？在网上查找资料，找到部分解决方案。

一种思路

1）不使用docker run -p参数配置NAT，而是通过手动配置防火墙NAT规则来实现。

2）使用docker run -p参数配置NAT，容器启动之后使用iptables-save（centos）将防火墙规则同步到防火墙配置文件

这里介绍的是采用2方案：

1.iptables -nL -t nat —查看docker NAT规则是否存在

img

2.iptables-save 检查当前 IPTable 表是否空

3.如果IPtable 表不为空。 先备份IPtable表

cp /etc/sysconfig/iptables /etc/sysconfig/iptables_bak20180705

4.iptables-save > /etc/sysconfig/iptables 将所有IPtable 规则重新保存

这时候，重启防火墙也不会影响 容器使用了。

如果需要复原防火配置即可以使用命令：cp iptables_bak20180705 iptables

二种想法

文件/etc/sysconfig/iptables-config 里设定了iptables的种种配置，具体如下

# Load additional iptables modules (nat helpers)
#   Default: -none-
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES=""

# Unload modules on restart and stop
#   Value: yes|no,  default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"

# Load additional iptables modules (nat helpers)
#   Default: -none-
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES=""

# Unload modules on restart and stop
#   Value: yes|no,  default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"

# Save current firewall rules on stop.
#   Value: yes|no,  default: yes
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets stopped
# (e.g. on system shutdown).
IPTABLES_SAVE_ON_STOP="no"

# Save current firewall rules on restart.
#   Value: yes|no,  default: yes
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets
# restarted.
IPTABLES_SAVE_ON_RESTART="no"

# Save (and restore) rule and chain counter.
#   Value: yes|no,  default: no
# Save counters for rules and chains to /etc/sysconfig/iptables if
# 'service iptables save' is called or on stop or restart if SAVE_ON_STOP or
# SAVE_ON_RESTART is enabled.
IPTABLES_SAVE_COUNTER="no"

# Numeric status output
#   Value: yes|no,  default: yes
# Print IP addresses and port numbers in numeric format in the status output.
IPTABLES_STATUS_NUMERIC="yes"

# Verbose status output
#   Value: yes|no,  default: yes
# Print info about the number of packets and bytes plus the "input-" and
# "outputdevice" in the status output.
IPTABLES_STATUS_VERBOSE="no"

# Status output with numbered lines
#   Value: yes|no,  default: yes
# Print a counter/number for every rule in the status output.
IPTABLES_STATUS_LINENUMBERS="yes"

# Reload sysctl settings on start and restart
#   Default: -none-
# Space separated list of sysctl items which are to be reloaded on start.

IPTABLES_MODULES="ip_conntrack_netbios_ns"

在防火墙被激活时，指定一组独立的空间额外加载iptables模块，系统启动，加载防火墙模块，会打印：Loading additional iptables modules: ip_conntrack_netbios_ns[ OK ]

IPTABLES_MODULES_UNLOAD="yes"

在重新启动和停止iptables模块时，是否卸载此模块。

IPTABLES_SAVE_ON_STOP="no"

当防火墙停止时，保存当前防火墙规则到iptables文件，no ：（默认值）不保存当前的规则到iptables文件。

IPTABLES_SAVE_ON_RESTART="no"

当防火墙重启时：service iptables restart，保存当前防火墙规则到iptables文件，no ：（默认值）不保存当前的规则到iptables文件。

IPTABLES_SAVE_COUNTER="no"

保存并恢复所有chain和规则中的数据包和字节计数器，yes：保存计数器的值，no：（默认值）不保存计数器值。

IPTABLES_STATUS_NUMERIC="yes"

输出的IP地址是数字的格式，而不是域名和主机名的形式，yes：（默认值）在状态输出中只包括IP地址，no：在状态输出中返回域名或主机名。

IPTABLES_STATUS_VERBOSE="no"

输出iptables状态时，是否包含输入输出设备，yes：包含，no：（默认值）不包含。

IPTABLES_STATUS_LINENUMBERS="yes"

输出iptables状态时，是否同时输出每条规则的匹配数，yes：（默认值）输出，no：不输出。

根据描述，将IPTABLES_SAVE_ON_STOP="no"和IPTABLES_SAVE_ON_RESTART="no"修改为yes

修改完毕后，重新启动防火墙，即可生效

实际操作

按照方案一：cp /etc/sysconfig/iptables /etc/sysconfig/iptables_bak20180705时。系统提示/etc/sysconfig/iptables不存在。

解决方案。先执行下一步.iptables-save > /etc/sysconfig/iptables 创建出对应文件即可。

为了防止意外，在实际操作中，两个方案我都进行了使用。得到的结果是防火墙开启的状态下，（

既systemctl restart firewalld 或者systemctl stop firewalld+systemctl start firewalld操作）docker间的网络通信都不在受影响。

这样的结果确保了在防火墙开启的状态下，防火墙规则里不会丢失docker相关配置。

而防火墙关闭的时候，docker配置丢失，不可通信。

故这种方法适用防火墙常开的生产环境。

一点遗留

可以看出虽然centos使用的是firewalld命令。我们还是通过修改底层的iptables配置来实现来我们的需求。

但是我们只实现了在开启状态下的通信正常。而当我再同样使用iptables的ubantu上进行测试时，无论是开启还是关闭状态。docker规则都岿然不动的伫立在iptables配置里，这说明这种情况是可以实现的。只是限于对这方面了解太少，只能暂时做到满足生产需求，无法进一步优化。希望以后有机会再深入研究

参考文档：

https://www.cnblogs.com/JesseSong/articles/9269408.html

http://www.what21.com/sys/view/liunx_centos_1476930018956.html

Centos配置Docker
zhuge_long的专栏
07-07 979
1、Docker 是一个开源的应用容器引擎2、诞生于 2013 年初，基于 Go 语言实现， dotCloud 公司出品（后改名为Docker Inc）3、Docker 是一个可以让开发者打包他们的应用以及依赖包到一个轻量级、可移植的容器引擎（好比汽车发动机），然后发布到任何流行的 Linux 机器上。4、容器是完全使用沙箱机制，相互隔离5、容器性能开销极低。
CentOS安装Docker，及Docker部署常见容器
weixin_71639702的博客
01-08 2435
[目标位置]/seata/application.ymlseata:# 配置中心-nacosconfig:nacos:server-addr: [nacos地址]:8848namespace:# 注册中心-nacosregistry:nacos:server-addr: [nacos地址]:8848namespace:cluster: default # TC 集群名称，下文 Seata 客户端中配置事务分组名和集群名映射使用。
CentOS7 Docker防火墙的简单配置教程
01-10
CentOS7 Docker防火墙的简单配置 禁用 firewalld 服务 systemctl disable firewalld systemctl stop firewalld 安装 iptables 防火墙服务 yum install iptables-services 创建 iptables 配置脚本 cat >> /usr/local/bin/fired.sh <<'EOF' #!/bin/bash iptables -F iptables -X iptables -Z iptables -P INPUT DROP iptables -P OUTPUT ACCEPT i
centos7 firewalld导致docker网络异常
leoss的博客
11-04 1万+
centos7 自带防火墙是firewalld。在某下情况下可能导致docker 的某些网络问题。 docker 有4种网络模式： 1.bridge模式 2.host模式 3.container模式 4.none模式 默认是bridge 网桥模式，docker会在宿住机配置一个虚拟网卡，并将容器连接到该网卡，而docker网络与宿住机外部网络的通信，是借助nat来实现的。所以当Iptable出现问...
动了宿主机的防火墙，docker必须重启吗？
Jason
06-23 1443
如果防火墙规则的更改影响了 Docker 的网络连接，那么需要重启 Docker 才能使更改生效。这是因为 Docker 的网络连接是与宿主机的网络连接紧密关联的，因此防火墙规则的更改可能会影响 Docker 的网络连接。如果你不确定是否需要重启 Docker，请先尝试重新加载 Docker 的网络配置，以便它可以使用新的防火墙规则。ps：如果需要启动应用，而不想重启整个 docker，应尝试使用主机模式，避免使用端口映射，因为此时的映射是坏的。
防火墙控制Docker端口开放与关闭
热门推荐
weixin_43876317的博客
01-17 1万+
1.问题描述 docker下的oracle数据库服务存在漏洞，解决难度较高，于是通过firewalld限制高危端口开放，只允许本机访问。发现即使firewalld把oracle 1521漏洞不开放出去，但其他服务器依然能访问这给服务器的1521端口，也就是说firewalld配置的规则失效。 2.解决办法 docker配置文件中添加 “iptables”: false [root@localhost ~]# vi /etc/docker/daemon.json { "data-root": "/op
Docker与防火墙问题
weixin_50762970的博客
08-11 4323
Docker与防火墙问题
CentOS7.6虚拟机环境搭建：最小化安装环境配置以及Docker安装问题解决
最新发布
2301_82170555的博客
03-29 1167
centos7.6虚拟机环境搭建，系统最小化安装，手动分区设置，静态网络设置，系统时间同步设置，yum源设置，docker的安装，以及相关问题的排查
Centos7安装Docker，及无法启动的问题和解决方案
Mickle_zhang的专栏
08-13 1745
一、Docker-安装与部署 前提条件： Docker 运行在 CentOS 7 上，要求系统为64位、系统内核版本为 3.10 以上。 1. 使用yum update确保 yum 包更新到最新。 指令：yum update 2. 卸载旧版本(如果安装过旧版本的话，没安装过直接跳过) yum remove docker docker-common docker-selinux do...
微服务一：VMware安装Centos7系统配置网络并安装docker
song53536的博客
09-07 1204
错误：软件包：3:docker-ce-26.1.4-1.el7.x86_64 (docker-ce-stable)yum-config-manager --enable base-source //启用base基础仓库。yum-config-manager --enable updates-source //启用更新功能仓库。2.2、选择下载的ISO文件（CentOS-7-x86_64-Minimal-2009.iso）1、打开Xshell工具，创建连接，输入ip地址（可在虚拟机 ip addr查询）
docker 详解设置容器防火墙
01-11
docker 容器防火墙设置 启动容器时增加参数 方法一：完全开放 --privileged=true 但是这样的话就将系统的所有能力都开放给了Docker容器 有一个image为aaa的将启动为容器名为bbb的且在容器内需要使用iptables功能，可以使用–privileged=true来进行开启，如： docker run --privileged=true -d -p 4489:4489/tcp --name bbb aaa 方法二：部分开放 对于iptables需要的权限进行开放，其它的权限不予开放 --cap-add NET_ADMIN --cap-add N
防火墙打开和关闭对docker的影响
weixin_48922293的博客
04-21 2330
docker启动停止重启命令，防火墙打开和关闭
修改iptables，导致Docker应用意外停止无法启动问题
chenxue843400447的博客
04-21 1939
1.问题描述:服务器上开启端口时，修改了防火墙规则。重启之后发现docker某些应用意外停止，无法启动。 2.分析问题： iptables是什么 iptables与docker关系 2.1 iptables了解推荐:iptables详解 ...
解决Centos firewalld导致的docker容器内无法访问外网，无法访问其他容器（host没办法解析）
m0_37732829的博客
08-25 1818
# 开启 NAT 转发 firewall-cmd --permanent --zone=public --add-masquerade # 检查是否允许 NAT 转发 firewall-cmd --query-masquerade # 禁止防火墙 NAT 转发 firewall-cmd --remove-masquerad
centos重启防火墙导致docker不可用
zsj777的专栏
03-20 822
重启容器报错错误原因docker服务启动时定义的自定义链docker，由于centos7 firewall 被清掉firewall的底层是使用iptables进行数据过滤，建立在iptables之上，这可能会与 Docker 产生冲突。当 firewalld 启动或者重启的时候，将会从 iptables 中移除 docker的规则，从而影响了 Docker 的正常工作。
《Linux运维总结：基于Centos系统使用firewalld为docker容器配置防火墙策略》
东城绝神
11-09 1万+
学习目标： 提示：这里可以添加学习目标 例如：一周掌握 Java 入门知识 学习内容： 提示：这里可以添加要学的内容 例如： 1、 搭建 Java 开发环境 2、 掌握 Java 基本语法 3、 掌握条件语句 4、 掌握循环语句 学习时间： 提示：这里可以添加计划学习的时间 例如： 1、 周一至周五晚上 7 点—晚上9点 2、 周六上午 9 点-上午 11 点 3、 周日下午 3 点-下午 6 点 学习产出： 提示：这里统计学习计划的总量 例如： 1、 技术笔记 2 遍 2、CSDN 技术博客 3 篇
Centos7 利用firewalld修改docker端口权限
Zoe_liuxy
11-22 1843
可能是我的所有博客里最简短的一篇了……纯属记录下，如果有遇到同样问题的朋友请看： 我的服务器上用docker运行的elasticsearch，开放了9200端口，但我不想让我的9200端口暴露在公网上，因此我用iptables加了两条规则试图drop外网对9200端口的请求： iptables -I INPUT -p tcp --dport 9200 -j DROP iptables -I INP...
Centos 7.9.2009 firewalld 防火墙无法拦截Docker映射端口
MR.骑士道
11-03 1709
Centos 7.9.2009 firewalld 防火墙无法拦截Docker映射端口
CentOS 7 Docker 防火墙简单配置
weixin_33991418的博客
12-21 1493
禁用 firewalld 服务 systemctl disable firewalld systemctl stop firewalld 安装 iptables 防火墙服务 yum install iptables-services 创建 iptables 配置脚本 cat >> /usr/local/bin/fired.sh...
centos7无法docker
03-27
### CentOS 7 上 Docker 运行失败的原因分析与解决方案 在 CentOS 7 平台上运行 Docker 遇到问题可能由多种原因引起，以下是常见的几个方面以及对应的解决方法。 #### 1. **Docker 服务未启动** 如果 `docker` 的服务状态显示为停止或者异常，则需要手动启用并启动该服务。可以通过以下命令确认其状态： ```bash systemctl status docker ``` 若服务处于关闭状态，可以尝试重新加载配置文件并启动服务： ```bash systemctl daemon-reload && systemctl start docker ``` 此外，还可以验证 `docker.service` 和 `docker.socket` 是否已设置为开机自启[^1]: ```bash systemctl is-enabled docker.service systemctl is-enabled docker.socket ``` --- #### 2. **网络配置错误** Docker 默认会在宿主机上创建一个名为 `docker0` 的网桥设备用于容器通信。如果此网桥未能正常初始化或与其他网络发生冲突，可能导致容器无法连接外部网络。 可以通过检查 `/etc/hosts` 文件来排查是否存在不一致的 DNS 映射记录[^2]。例如，在某些情况下，Docker Desktop 会自动向 `/etc/hosts` 添加如下条目： ``` 127.0.0.1 kubernetes.docker.internal ``` 如果这些映射影响到了其他服务的功能，建议将其移除或调整优先级。 --- #### 3. **防火墙阻止了 Docker 流量** 当系统上的防火墙策略较为严格时，可能会拦截掉 Docker 容器之间的流量交换。此时需临时禁用防火墙测试效果： ```bash systemctl stop firewalld ``` 或者允许特定范围内的端口通行（假设目标端口为 80 和 443）： ```bash firewall-cmd --permanent --add-port=80/tcp firewall-cmd --permanent --add-port=443/tcp firewall-cmd --reload ``` 同样需要注意的是，当新增加的服务试图绑定某个固定端口却遭到拒绝时，应当先利用工具检测是否有重复占用情况存在[^5]: ```bash netstat -nltp | grep [指定端口号] ``` --- #### 4. **SELinux 导致权限不足** SELinux 是一种强制访问控制机制，默认开启状态下会对许多操作施加额外约束条件。对于部分场景而言，它可能是造成 Docker 功能受限的主要因素之一。为了快速定位问题所在，可暂时切换至宽容模式观察变化： ```bash setenforce 0 ``` 修改完成后记得查看日志文件寻找线索： ```bash journalctl -xeu docker.service ``` 若要永久更改此项设定，则编辑 `/etc/selinux/config` 将其中的一行更改为： ```ini SELINUX=permissive ``` --- #### 5. **Docker Daemon 参数不当** 在实际应用过程中，有时默认参数并不完全满足需求，因此有必要根据实际情况定制化配置项。比如增加 MTU 值以便更好地适配底层物理链路特性[^3]： 编辑位于路径下的 systemd 单元定义文档： ```bash vim /lib/systemd/system/docker.service ``` 找到字段 `ExecStart=` ，在其后面追加上述选项即可生效： ```plaintext ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H tcp://0.0.0.0:2375 --mtu=1450 ``` 别忘了保存退出后再同步更新缓存数据结构： ```bash systemctl daemon-reload && systemctl restart docker ``` --- #### 6. **硬件资源配置不足** 虚拟环境中部署多个大型应用程序实例很容易耗尽可用 RAM/CPU 等计算资源，进而引发 OOM killer 杀死关键进程的现象。针对这种情况可以从以下几个角度入手优化性能表现: - 提升单台服务器规格； - 减少不必要的后台守护程序数量； - 使用 cgroups 控制组技术精细化管理各子系统的份额比例； --- ### 总结 上述列举了几种常见于 CentOS 7 下 Docker 不工作的情形及其对应处理办法。具体实施哪一步取决于当前遇到的具体症状描述。务必逐一排除干扰源直至恢复正常运作为止。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值