冲突本质是firewalld与Docker争夺iptables管理权：firewalld重启清空DOCKER链致端口映射失效（本地通、外部超时）；排查三步法：curl localhost验证服务、局域网访问测转发、iptables -t nat -L DOCKER查链是否存在。

iptables 与 Docker 的冲突本质是规则管理权争夺：Docker 自动写入的 DOCKER、DOCKER-USER 等链，常被 firewalld 重启时清空，导致端口映射失效（本地能访问，外部超时）或容器无法出网。排查要快准狠，解决要稳且可持续。

快速确认是不是 iptables-docker 冲突

别急着改配置，先用三步验证：

• 在宿主机执行 curl http://localhost:映射端口 —— 成功说明容器服务正常，问题不在应用层
• 从局域网另一台机器访问 http://[宿主机IP]:映射端口 —— 超时或 Connection refused，基本锁定为转发/防火墙层阻断
• 运行 iptables -t nat -L DOCKER —— 若提示 “No chain/target/match by that name”，说明 Docker 规则已被 firewalld 清除，冲突成立

优先推荐：把 docker0 接口划进专用 zone

适用于 Docker ≥ 20.10.0 + 默认 firewalld 配置（CentOS 7/8、RHEL 8+、Fedora），无需禁用任何服务，兼容性好：

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• 将 docker0 网桥移入 docker zone：firewall-cmd --permanent --zone=docker --add-interface=docker0
• 启用地址伪装（必须！否则容器无法访问外网）：firewall-cmd --permanent --zone=docker --add-masquerade
• 重载生效：firewall-cmd --reload
• 验证是否生效：firewall-cmd --get-active-zones 应显示 docker 区域及 docker0 接口

更彻底方案：交由 firewalld 统一管 iptables

让 Docker 完全退出 iptables 管理，只负责容器内部网络，适合对防火墙策略有集中管控需求的生产环境：

• 编辑 /etc/docker/daemon.json（不存在则新建），加入：{"iptables": false}
• 重启 Docker：systemctl restart docker
• 开启全局 masquerade（关键！否则容器出向失败）：firewall-cmd --add-masquerade --permanent && firewall-cmd --reload
• 手动放行业务端口，例如：firewall-cmd --add-port=8080/tcp --permanent && firewall-cmd --reload

自定义规则该加在哪条链？

避免被 Docker 覆盖，位置比内容更重要：

• 想控制“进容器的流量”（如限制某 IP 访问所有容器）→ 加到 DOCKER-USER 链（Docker 所有自动规则之前）：
  iptables -I DOCKER-USER -s 192.168.10.5 -j DROP
• 想控制“访问宿主机自身服务”（如 curl localhost:8080）→ 加到 INPUT 链，但注意匹配接口（如 -i docker0 或 -i lo）
• 绝对不要直接改 DOCKER 链 —— 这是 Docker 自己维护的，重启后会被重置
• 规则持久化：Debian/Ubuntu 用 iptables-save > /etc/iptables/rules.v4；CentOS/RHEL 用 iptables-save > /etc/sysconfig/iptables，并确保开机加载