Portainer容器启动失败主因是未正确挂载/var/run/docker.sock和portainer_data卷，导致权限拒绝或配置丢失；需确保Docker守护进程运行、SELinux不拦截、使用命名卷持久化数据，并验证Endpoints状态为Up。
Portainer 能直接用 docker run 一条命令跑起来，但跳过数据卷和 /var/run/docker.sock 挂载，容器一重启就丢配置、连不上 Docker 引擎——这是最常踩的两个坑。
确保 Docker 守护进程可访问且权限正确
Portainer 必须通过 Unix 套接字与本地 Docker 守护进程通信。如果看到 Got permission denied while trying to connect to the Docker daemon socket 错误，说明当前运行 Portainer 的容器用户没权限读取 /var/run/docker.sock。
- 确认 Docker 正在运行：
sudo systemctl status docker，若 inactive 就执行sudo systemctl start docker - 不要把宿主机用户加进
docker组来“绕过”问题——Portainer 容器内用户默认不是该组成员，挂载套接字时需靠宿主机文件权限透传 - 常见误操作：SELinux 启用时（
getenforce返回Enforcing），即使加了-v /var/run/docker.sock:/var/run/docker.sock也会被拦截；临时解决用sudo setenforce 0，长期方案是配 SELinux 策略或改用permissive模式
必须挂载命名卷 portainer_data，不能只靠 -v 映射目录
Portainer 把用户账号、端点配置、RBAC 策略全存放在 /data 下。如果只用 -v ./portainer-data:/data 这种相对路径挂载，容器重建后容易因路径变更或权限错乱导致初始化界面反复弹出。
- 务必先创建命名卷：
docker volume create portainer_data - 运行时绑定它：
-v portainer_data:/data——Docker 自动管理该卷的属主和权限，比手动建目录可靠得多 - 验证是否生效：容器启动后执行
docker exec portainer ls -l /data，应能看到portainer.db和certs/目录
端口映射选 9000 还是 9443？看实际访问场景
Portainer CE 默认启用 HTTPS，监听 9443 并自动生成证书；9000 是纯 HTTP 端口，不加密，仅建议内网调试用。
- 局域网直连访问：加
-p 9000:9000最省事，浏览器输http://localhost:9000即可 - 公网或跨网络访问：必须开
9443，否则浏览器会拦截不安全连接；若需反向代理（如 Nginx），则关掉内置 HTTPS，用代理层终结 TLS - 同时开两个端口也行：
-p 9000:9000 -p 9443:9443，但别漏掉--restart=always，否则宿主机重启后 Portainer 不自动拉起
首次登录后立即检查 “Endpoints” 状态是否为 Up
登录成功只是第一步。左侧菜单点 “Endpoints”，找到 “local” 条目，Status 显示红色 Down，说明 Portainer 虽然起来了，但根本没连上 Docker 引擎——大概率是 /var/run/docker.sock 挂载失败或权限被 SELinux 拦截。
- 点进去看 “Details” 里的错误日志，关键词通常是
dial unix /var/run/docker.sock或permission denied - 别急着重启容器：先
docker exec -it portainer sh进去，手动执行ls -l /var/run/docker.sock，确认文件存在且容器内能访问 - 如果用的是 CentOS/RHEL 8+ 或 Fedora，还可能遇到 cgroup v2 兼容问题，此时需在
docker run命令末尾加--privileged（仅测试环境，生产慎用）
真正麻烦的从来不是装不上，而是装上了却连不上引擎、配好了却存不住用户、开了端口却在外网打不开——这些都卡在挂载、权限、协议三个环节上，盯住 /var/run/docker.sock、portainer_data、9443 这三样，基本就没大问题了。
