docker『Firewall blocks docker0 bridge』の原因と対処法

# docker0のIP確認
ip addr show docker0

# iptables のNATルール（Dockerの追加ぶん）を確認
sudo iptables -t nat -L -n -v | grep -i docker -A2

# FORWARDチェーンのポリシーも確認
sudo iptables -L FORWARD -n -v

# FORWARDチェーンのポリシーを確認
sudo iptables -L FORWARD -n -v

# 一時的に、docker0→外部/外部→docker0 を許可して動作確認
sudo iptables -A FORWARD -i docker0 -o eth0 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o docker0 -m state --state RELATED,ESTABLISHED -j ACCEPT

# docker0がどのzoneに属しているかを確認
sudo firewall-cmd --get-active-zones
sudo firewall-cmd --get-zone-of-interface=docker0

# 信頼zoneに docker0 を追加（例: trusted）
sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0

# 必要なサービス/ポートをzoneに追加（例: 80/tcp）
sudo firewall-cmd --permanent --zone=trusted --add-port=80/tcp

# 設定反映
sudo firewall-cmd --reload

sudo nano /etc/ufw/before.rules

*filter
:ufw-before-forward - [0:0]

# docker0からの転送を許可
-A ufw-before-forward -i docker0 -o eth0 -j ACCEPT
-A ufw-before-forward -i eth0 -o docker0 -m state --state RELATED,ESTABLISHED -j ACCEPT

COMMIT

sudo ufw reload

# クラウドの例（概念）
# SG/Firewall設定でホストサーバのpublic IPの 80/tcp, 443/tcp, 任意ポート を開ける

# /etc/docker/daemon.json の例
{
  "iptables": true
}

# 変更後はDockerサービスを再起動
sudo systemctl restart docker

# firewalld を一時停止
sudo systemctl stop firewalld

# UFW を一時停止
sudo ufw disable

# iptables を初期化（検証環境のみ）
sudo iptables -F
sudo iptables -t nat -F

# 例: コンテナから外部へのアウトバウンドのみ許可
sudo iptables -A FORWARD -s 172.17.0.0/16 -o eth0 -j ACCEPT
sudo iptables -A FORWARD -d 172.17.0.0/16 -m state --state RELATED,ESTABLISHED -j ACCEPT

# 例: コンテナの80番ポートだけ外部公開 (NAT前提)
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 \
  -j DNAT --to-destination 172.17.0.2:80

# 1) FORWARDポリシーがDROP
# NG:
sudo iptables -P FORWARD DROP
# OK: docker0まわりだけ明示許可
sudo iptables -A FORWARD -i docker0 -o eth0 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o docker0 -m state --state RELATED,ESTABLISHED -j ACCEPT

# 2) firewalldでdocker0がpublic zoneのまま厳しく絞られている
# NG: zone未設定 or publicでDROP
# OK: trusted zoneに移す
sudo firewall-cmd --permanent --zone=trusted --add-interface=docker0
sudo firewall-cmd --reload

# 3) UFW有効化後にコンテナ通信が全滅
# NG: 何もルールを追加していない
# OK: ufw-before-forwardにdocker0向け許可ルールを追加して reload

# 4) Dockerのiptables管理を切ったまま何もしていない
# NG: daemon.jsonで "iptables": false だが手動ルールもなし
# OK: "iptables": true に戻す or NAT/FORWARDルールを自前で定義

1) ip addr show docker0 で docker0 が存在し、期待通りのアドレスが付いているか
2) iptables -t nat -L -n -v で Docker用 MASQUERADE ルールが存在するか
3) iptables -L FORWARD -n -v で docker0 向けパケットが DROP されていないか
4) firewalld/UFW を使っている場合、それぞれ docker0 を許可する設定を入れたか
5) Docker daemon の "iptables" 設定が意図通りか（true か、false なら自前ルールを定義したか）
6) 外部FW/クラウドSGで、ホストIPの必要ポート（例: 80, 443, 任意）が開いているか
7) FWを一時無効化すると通信が通るか（原因がFW由来かどうかを切り分けたか）
8) 恒久対処として、docker0 全開放ではなく必要なサブネットとポートに絞ってルールを整備したか