Firewalld与Docker之间存在一定的配置交互问题，以下是一些常见的配置交互及使用方法： - **使用iptables.service代替firewalld**：安装iptables.service的守护进程来替代firewalld，以此解决firewalld和docker的冲突问题[^1]。 - **docker容器使用host主机网络模式**：docker容器使用host主机网络模式，而非bridge模式，可避免与firewalld的冲突[^1]。 - **由firewalld管理docker网络**： 1. 查看活动区：使用命令`firewall-cmd --get-active-zones`查看活动区。 2. 配置规则：执行`firewall-cmd --permanent --delete-zone=docker`、`firewall-cmd --permanent --zone=public --add-masquerade`添加在活动区，然后`firewall-cmd --reload`重新加载配置。 3. docker配置：在`/etc/docker/daemon.json`文件中添加`{ "iptables": false }`。 4. 重启docker：使用`systemctl restart docker`重启docker服务[^2]。 - **启用firewalld重新设置策略**： 1. 启用防火墙：使用`systemctl start firewalld`和`systemctl enable firewalld`启用并设置开机自启。 2. 配置文件禁用docker的iptables：在`/etc/docker/daemon.json`中添加`{ "iptables": false }`，并重启docker服务。 3. 配置防火墙策略：配置伪装地址`firewall-cmd --zone=public --add-masquerade --permanent`；将docker接口导入trusted区，如`firewall-cmd --permanent --zone=trusted --add-interface=docker0`、`firewall-cmd --permanent --zone=trusted --add-interface=br-xxxx`；将对外网口接入public，如`firewall-cmd --permanent --zone=public --add-interface=ens192`；在public zone加入docker映射的端口策略，如`firewall-cmd --permanent --zone=public --add-port=8080/tcp`。 4. 重启防火墙和docker：使用`firewall-cmd --reload`、`systemctl restart firewalld`和`systemctl restart docker`重启服务[^3]。 - **将docker0网桥加入trusted区域或允许masquerade（NAT）**： - 将docker0网桥加入trusted区域：使用`firewall-cmd --permanent --zone=trusted --add-interface=docker0`，然后`firewall-cmd --reload`重新加载配置。 - 允许masquerade（NAT）：使用`firewall-cmd --permanent --zone=public --add-masquerade`，然后`firewall-cmd --reload`重新加载配置[^5]。