Docker容器网络被防火墙阻断本质是Docker与firewalld/iptables规则冲突，需通过配置trusted zone、禁用FlushAllOnReload或添加docker0放行规则实现共存，而非关闭防火墙。
安装 Docker 后容器网络被防火墙阻断，本质不是 Docker 安装问题，而是 Docker 与宿主机防火墙（尤其是 firewalld 或 iptables）的规则管理冲突所致。关键在于让两者共存，而不是简单关掉防火墙。
确认是否真是防火墙导致
先快速验证：临时停用防火墙，看容器通信是否恢复。
- firewalld 环境：
sudo systemctl stop firewalld，再测试容器间或容器访问外网 - ufw 环境：
sudo ufw disable - iptables 直接检查：
sudo iptables -L -n | grep -E "(DOCKER|docker0)"，看是否有明显 DROP/REJECT 规则
如果停用后恢复正常，说明确为防火墙干扰，接下来针对性修复。
firewalld 用户：启用 docker zone 或放行 docker0 接口
firewalld 默认不识别 docker0 网桥，需手动将其纳入信任范围。
minimax-mcp-docker版（适配极空间）
下载
MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
- 将 docker0 接口加入 trusted zone：
sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0 - 重新加载：
sudo firewall-cmd --reload - 验证：
sudo firewall-cmd --get-active-zones应显示 docker0 在 trusted 下
该方式比开放具体端口更安全，因为 trusted zone 允许该接口所有流量（含容器间、容器→宿主、容器→外网），且不会影响 firewalld 对其他接口（如 eth0）的策略。
避免 firewalld 重启清空 Docker 规则
firewalld 重启时会重置 iptables，抹掉 Docker 自动添加的规则（如 DOCKER、DOCKER-USER 链），导致网络中断。
- 方案一（推荐）：禁用 firewalld 的 iptables 清理行为，在
/etc/firewalld/firewalld.conf中设FirewallBackend=iptables并添加FlushAllOnReload=no - 方案二：启用 Docker 的
iptables=false模式（需谨慎），改由 firewalld 统一管理——但这要求你手动配置所有端口映射和容器通信规则，运维成本高 - 方案三（最常用）：每次重启 firewalld 后，立即重启 Docker：
sudo systemctl restart docker，让 dockerd 重写其所需规则
iptables 用户：明确放行关键链与接口
若直接使用 iptables（未通过 firewalld），需确保以下规则存在且顺序合理：
- 允许 docker0 网桥入向流量：
sudo iptables -I INPUT -i docker0 -j ACCEPT - 允许容器访问外网（SNAT 已由 Docker 处理，但 OUTPUT 需放行）：
sudo iptables -I OUTPUT -o docker0 -j ACCEPT - 保留 DOCKER-USER 链（Docker 官方预留入口）：
sudo iptables -N DOCKER-USER，并在其前插入自定义规则（如限速、过滤），避免误删
注意：不要用 iptables -F 清空全部规则，Docker 依赖的 DOCKER、DOCKER-ISOLATION-STAGE-* 等链会被破坏。
