Docker 与 iptables 规则的关系

Docker 通过 iptables 的 DOCKER 链实现端口发布与出网 NAT；DOCKER-USER 链是留给使用者的过滤入口，排端口不通先看这两条链。

关键链	nat 表 DOCKER（DNAT）/ filter 表 DOCKER-USER（自定义过滤）
查看	iptables -t nat -L DOCKER -n / iptables -L DOCKER-USER -n
常见困惑	主机防火墙与 Docker 链的生效顺序

示例

sudo iptables -t nat -L DOCKER -n --line-numbers
sudo iptables -L DOCKER-USER -n --line-numbers
docker run -d -p 127.0.0.1:8080:80 nginx

需要按来源限制已发布端口时，用 DOCKER-USER 链加规则；限制内网服务优先把端口绑到 127.0.0.1。

Docker 官方文档：Packet filtering and firewalls（docs.docker.com/network/packet-filtering-firewalls）

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌