DOCKER-USER链必须在docker0桥接规则前生效，因其是Docker流量的首个自定义管控入口，确保所有容器进出流量先经此链过滤，再进入Docker隔离逻辑；若顺序错乱或Docker禁用iptables，则规则无效。
DOCKER-USER 链为什么必须在 docker0 桥接规则之前生效
Docker 启动时会自动在 iptables 的 FORWARD 链中插入一条跳转到 DOCKER-USER 链的规则，位置紧挨着 DOCKER-ISOLATION-STAGE-1 之前。这个顺序不是随意的：它确保所有容器进出流量（无论是否跨网络、是否启用 user-defined network）都**先经过 DOCKER-USER**，再进入 Docker 自身的隔离逻辑。如果你手动把规则加到 DOCKER 链里，或者用 iptables -A 追加到末尾，那大概率已被 Docker 的默认策略放行或拒绝，你的规则根本不会触发。
禁止容器访问宿主机敏感端口的典型写法
常见错误是直接 REJECT 所有到 127.0.0.1 的包——这没用，因为容器发往宿主机的流量在 FORWARD 链里看到的目标 IP 是宿主机真实网卡地址（比如 192.168.1.100），不是 127.0.0.1。正确做法是匹配目标为宿主机接口且目标端口属于敏感范围：
-
iptables -I DOCKER-USER -i docker0 -o eth0 -p tcp --dport 2376 -j DROP（封禁容器调用 Docker API） -
iptables -I DOCKER-USER -i docker0 -o eth0 -p tcp --dport 6379 -j DROP（防容器直连宿主机 Redis） -
iptables -I DOCKER-USER -i docker0 -o eth0 -p tcp --dport 22 -j DROP（防 SSH 爆破穿透）
注意用 -i docker0 限定仅处理来自容器的入向流量，-o eth0 表示流向宿主机物理网卡，避免误伤容器间通信。
如何让自定义规则在 Docker 重启后不丢失
Docker 不管理 DOCKER-USER 链里的规则，也不会保存它们。每次 systemctl restart docker，链还在，但里面所有规则全清空。靠 iptables-save + iptables-restore 脚本容易漏执行时机；更可靠的是利用 systemd 服务依赖：
- 写一个
/etc/iptables/rules.v4（Debian/Ubuntu）或/etc/sysconfig/iptables（RHEL/CentOS），把你的DOCKER-USER规则写进去 - 启用
iptables.service并设为开机启动：systemctl enable iptables - 确认
docker.service在iptables.service之后启动：systemctl edit docker，加入After=iptables.service
这样每次系统启动或 Docker 重启前，iptables 规则已就位，DOCKER-USER 链从一开始就是你想要的状态。
与 --iptables=false 冲突时的实际表现
如果你在 daemon.json 中设了 "iptables": false，Docker 就不会操作任何 iptables 链——包括不会创建 DOCKER-USER 链，也不会插入跳转规则。此时你手动创建 DOCKER-USER 链并加规则，完全无效。必须同时满足两个条件：Docker 自己启用了 iptables 管理（默认 true），且你的规则插入位置早于 Docker 插入的跳转点。最稳妥的验证方式是运行 iptables -L FORWARD -n -v，确认第一行是 DOCKER-USER 跳转，且计数器随容器流量上升。
