本质是容器退出后veth网卡、网络命名空间或桥接配置未清理，导致IP标记为“used”却无主；需先验证残留（ip link、brctl show、docker network inspect、ip neigh），再安全删除veth、剥离网桥端口、清ARP，必要时重启docker重置网络栈，并通过--rm、优雅停止和升级Docker预防复发。
这个问题本质不是“IP空挂”，而是容器退出后，veth虚拟网卡、网络命名空间或桥接配置没被清理干净，导致后续容器启动失败、端口映射冲突，或者 docker network inspect 显示 IP 被标记为 “used” 却找不到对应容器。
先确认是否真有残留
别急着删，先看清楚现状：
- 运行
ip link show | grep veth，检查是否有大量名称像vethabcd12@if的接口，且在docker ps -a中找不到对应容器 - 查桥接设备状态：
brctl show docker0（或你用的自定义网桥），看是否挂着已不存在的 veth 端口 - 执行
docker network inspect bridge，重点看Containers字段是否为空，但IPAM.Config里仍有 IP 显示为 “used” - 检查 ARP 表：
ip neigh show dev docker0，有没有指向已退出容器 IP 的条目
安全手动清理残留设备
确认是残留后再操作，避免误删正在用的接口：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 删除孤立 veth 接口：
ip link delete vethxxxxxx（名称来自上一步ip link输出） - 从网桥剥离端口（如用默认 bridge）：
brctl delif docker0 vethxxxxxx - 清空无效 ARP 条目：
ip neigh flush dev docker0 - 清理完可顺手执行
docker network prune -f，清除无主网络配置（不影响运行中网络）
重启 Docker 并重置网络栈（慎用于生产）
如果手动清理后仍反复出问题，说明 daemon 内部状态已不一致：
- 停服务：
sudo systemctl stop docker - 卸载并删除网桥：
sudo ip link set docker0 down && sudo brctl delbr docker0（如有br-开头的自定义网桥也一并处理） - 清理网络命名空间残留：
sudo rm -f /var/run/netns/* - 启动服务：
sudo systemctl start docker——Docker 会重建默认网络，原 Exited 容器此时可正常rm
从源头避免再发生
清理是补救，预防才是关键：
- 避免
kill -9强杀容器，优先用docker stop给主进程发 SIGTERM，留出网络资源释放时间 - 调试类容器加
--rm参数，退出即删，不留下任何痕迹 - 升级 Docker 到较新稳定版（≥24.0），修复已知的 CNI DEL 失败问题
- 若用自定义网络驱动（如 macvlan），确保其插件支持完整的生命周期回调（尤其是 DEL 阶段）
