Exited容器无法清理且伴随veth/网桥端口残留，是Docker daemon网络资源回收失败所致，需先验证残留（ip link/docker network inspect），再手动删除veth、剥离网桥端口，必要时重启docker服务并重置网络栈，最后通过--rm、优雅停止和升级Docker预防复发。
容器处于 exited 状态却无法清理，且伴随网络接口（如 veth、br- 网桥端口）残留、docker network disconnect 失败或 docker rm 卡住——这通常不是标准的“网络未释放死锁”，而是 docker daemon 在容器终止后未能完成网络资源回收，常见于异常退出、内核模块异常或守护进程状态不一致时。
确认是否真为网络接口残留
先验证问题本质，避免误判：
- 运行
ip link show | grep veth或brctl show，比对输出中是否有与该容器 ID 前缀匹配的vethxxx设备； - 执行
docker network inspect bridge（或其他自定义网络），检查Containers字段是否仍包含已 Exited 的容器 ID； - 若
docker rm -f <container>长时间无响应，且strace -p $(pgrep dockerd)显示阻塞在netlink或unlinkat调用，才属典型网络清理卡死。
强制清理残留网络设备
当确认存在孤立 veth 或网桥端口时，可手动释放：
- 删除对应
veth接口：ip link delete vethXXXXXX（名称来自ip link输出）； - 从网桥剥离端口（如使用默认 bridge）：
brctl delif docker0 vethXXXXXX； - 若使用
macvlan或ipvlan网络，需同步清理宿主机侧的 parent 接口绑定； - 清理后执行
docker network prune清除无主网络配置（不影响正在使用的网络）。
重启 Docker daemon 并重置网络栈
若手动清理失败或频繁复现，说明 daemon 内部状态已损坏：
- 停止服务：
sudo systemctl stop docker； - 卸载所有 Docker 网桥：
sudo ip link set docker0 down && sudo brctl delbr docker0（如有其他br-网桥一并处理）； - 清除网络命名空间残留：
sudo ls /var/run/netns/ && sudo rm -f /var/run/netns/*； - 启动服务：
sudo systemctl start docker； - 此时 Docker 会重建默认网络，原 Exited 容器可安全
rm，不再受网络锁影响。
预防再次发生
从机制上降低概率：
- 避免直接 kill 容器进程（
kill -9主进程或killall dockerd），改用docker stop触发优雅清理； - 升级至 Docker 24.0+，其对 netlink 错误恢复和网络资源异步释放有显著改进；
- 在 CI/CD 或脚本中，
docker run后加--rm，确保容器退出即自动清理； - 对关键服务，启用健康检查 +
--restart=on-failure:3，减少因崩溃导致的半残状态。
