1.现象

在 centos7.2上使用 docker-19.03.6创建容器成功，但是容器无法启动，具体报错如下：

docker: Error response from daemon: driver failed programming external 
connectivity on endpoint:iptables failed:
iptables --wait -t nat -A DOCKER -p tcp -d 0/0 --dport 3306 -j DNAT --to-destination 172.17.0.2:80 ! -i docker0 
iptables: No chain/target/match by that name. (exit status 1)).
1
2
3
4

2.分析

报错很清晰：执行 iptables 命令时出错了

iptables的功能类似防火墙，用于管理数据包的传输，在 centos7的某个版本后已经不再单独存在，firewalld服务代替了 iptables。另外，只要 firewalld服务正常运行，iptables功能和命令可以正常使用，从现象来看二者有包含关系。

网上大部分资料都提到是因为 docker往 iptables里写入 nat规则失败，解决方法是重启 docker服务即可，在 centos7上可以执行如下命令：

systemctl restart docker
1

此方法在笔者的环境行不通，多次重启 docker服务后，容器依旧无法启动。

于是，换个思路，是否可以禁止 docker往 iptables里写入 nat规则？

——答案是肯定的

3.解决

查看 /etc/docker/daemon.json是否存在，不存在则创建，文件内容如下：

{
	"iptables":false
}
1
2
3

然后重启 docker服务：

systemctl restart docker
1

至此，容器已经可以正常启动并对外提供服务。

目前，尚未发现关闭 iptables的副作用。