Centos 7 docker 启动容器 iptables 报 No chain/target/match by that name

启动一个有 nat 映射端口的容器时，iptables 报 No chain/target/match by that name

 

 

 

 

 

 

Shell

 

1 2

docker run-d-p2181:2181-p2888:2888-p3888:3888garland/zookeeper   Error response from daemon:Cannot start container565c06efde6cd4411e2596ef3d726817c58dd777bc5fd13762e0c34d86076b9e:iptables failed:iptables--wait-tnat-ADOCKER-ptcp-d0/0--dport3888-jDNAT--to-destination192.168.42.11:3888!-idocker0:iptables:No chain/target/match by that name

找了N多网站和官方issue后，还是没找到真正的解决方法，网上到处转载的只是分析了原因，并没有明确的解决方案，为此与同事通宵加班终于解决了这个问题。

找到系统的/etc/sysconfig/iptables ，如果没有用以下命令保存一下,然后查看里边的内容

 

 

 

 

 

Shell

 

1 2	iptables-save>/etc/sysconfig/iptables   cat/etc/sysconfig/iptables

发现内容如下

 

 

 

 

 

Shell

 

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

*filter :INPUT ACCEPT[0:0] :FORWARD ACCEPT[0:0] :OUTPUT ACCEPT[0:0]   -Nwhitelist -Awhitelist-s192.168.42.0/24-jACCEPT #syn -Nsyn-flood -AINPUT-ptcp--syn-jsyn-flood -Isyn-flood-ptcp-mlimit--limit3/s--limit-burst6-jRETURN -Asyn-flood-jREJECT #DOS -AINPUT-ieth0-ptcp--syn-mconnlimit--connlimit-above15-jDROP -AINPUT-ptcp-mstate--state ESTABLISHED,RELATED-jACCEPT ## 省略一些简单的防火墙规则

查看启动容器的报错信息发现-A DOCKER DOCKER链，但在iptables文件里并没有找到，

由于之前在自己的系统(archlinux)学习使用docker时并没遇到这问题，

所以马上去看了下自己系统里的iptables的文件，

内容如下

 

 

 

 

 

 

Shell

 

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29

*nat :PREROUTING ACCEPT[27:11935] :INPUT ACCEPT[0:0] :OUTPUT ACCEPT[598:57368] :POSTROUTING ACCEPT[591:57092] :DOCKER-[0:0] -APREROUTING-maddrtype--dst-typeLOCAL-jDOCKER -AOUTPUT!-d127.0.0.0/8-maddrtype--dst-typeLOCAL-jDOCKER -APOSTROUTING-s172.17.0.0/16!-odocker0-jMASQUERADE -APOSTROUTING-s172.17.0.3/32-d172.17.0.3/32-ptcp-mtcp--dport1521-jMASQUERADE -APOSTROUTING-s172.17.0.3/32-d172.17.0.3/32-ptcp-mtcp--dport22-jMASQUERADE -ADOCKER!-idocker0-ptcp-mtcp--dport49161-jDNAT--to-destination172.17.0.3:1521 -ADOCKER!-idocker0-ptcp-mtcp--dport49160-jDNAT--to-destination172.17.0.3:22 COMMIT   # Completed on Sun Sep 20 17:35:31 2015 # Generated by iptables-save v1.4.21 on Sun Sep 20 17:35:31 2015 *filter :INPUT ACCEPT[139291:461018923] :FORWARD ACCEPT[0:0] :OUTPUT ACCEPT[127386:5251162] :DOCKER-[0:0] -AFORWARD-odocker0-jDOCKER -AFORWARD-odocker0-mconntrack--ctstate RELATED,ESTABLISHED-jACCEPT -AFORWARD-idocker0!-odocker0-jACCEPT -AFORWARD-idocker0-odocker0-jACCEPT -ADOCKER-d172.17.0.3/32!-idocker0-odocker0-ptcp-mtcp--dport1521-jACCEPT -ADOCKER-d172.17.0.3/32!-idocker0-odocker0-ptcp-mtcp--dport22-jACCEPT COMMIT   # Completed on Sun Sep 20 17:35:31 2015

对比后以去掉不相关的规则，以现*nat规则里有以下的对于docker的配置

 

 

 

 

 

Shell

 

1 2 3 4 5 6 7 8 9

*nat :PREROUTING ACCEPT[27:11935] :INPUT ACCEPT[0:0] :OUTPUT ACCEPT[598:57368] :POSTROUTING ACCEPT[591:57092] :DOCKER-[0:0] -APREROUTING-maddrtype--dst-typeLOCAL-jDOCKER -APOSTROUTING-s172.17.0.0/16!-odocker0-jMASQUERADE COMMIT

*filter 规则里对docker的配置如下

 

 

 

 

 

Shell

 

1 2 3 4 5 6 7 8 9 10

*filter :INPUT ACCEPT[139291:461018923] :FORWARD ACCEPT[0:0] :OUTPUT ACCEPT[127386:5251162] :DOCKER-[0:0] -AFORWARD-odocker0-jDOCKER -AFORWARD-odocker0-mconntrack--ctstate RELATED,ESTABLISHED-jACCEPT -AFORWARD-idocker0!-odocker0-jACCEPT -AFORWARD-idocker0-odocker0-jACCEPT COMMIT

去掉不相关规则后的配置文件如下(可以直接用)：

 

 

 

 

 

Shell

 

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23

*nat :PREROUTING ACCEPT[27:11935] :INPUT ACCEPT[0:0] :OUTPUT ACCEPT[598:57368] :POSTROUTING ACCEPT[591:57092] :DOCKER-[0:0] -APREROUTING-maddrtype--dst-typeLOCAL-jDOCKER -AOUTPUT!-d127.0.0.0/8-maddrtype--dst-typeLOCAL-jDOCKER -APOSTROUTING-s172.17.0.0/16!-odocker0-jMASQUERADE COMMIT   # Completed on Sun Sep 20 17:35:31 2015 # Generated by iptables-save v1.4.21 on Sun Sep 20 17:35:31 2015 *filter :INPUT ACCEPT[139291:461018923] :FORWARD ACCEPT[0:0] :OUTPUT ACCEPT[127386:5251162] :DOCKER-[0:0] -AFORWARD-odocker0-jDOCKER -AFORWARD-odocker0-mconntrack--ctstate RELATED,ESTABLISHED-jACCEPT -AFORWARD-idocker0!-odocker0-jACCEPT -AFORWARD-idocker0-odocker0-jACCEPT COMMIT   # Completed on Sun Sep 20 17:35:31 2015

然后再加上自己服务器的过滤规则，合并后覆盖到Centos 7的 /etc/sysconfig/iptables文件

重启iptables 服务

 

 

 

 

 

Shell

 

1	systemctl restart iptables.service

两次启动对应docker容器，

 

 

 

 

 

Shell

 

1	docker run-d-p2181:2181-p2888:2888-p3888:3888garland/zookeeper

发现容器启动成功，虽然有警告，但并不影响容器的使用

 

相关推荐：http://blog.csdn.net/fwj380891124/article/details/53023245

　　　　　http://blog.jobbole.com/98869/