Docker 28.0.0 版本在 ARM 设备上的 iptables 兼容性问题分析

Docker 28.0.0 版本发布后，部分 ARM 架构设备用户报告了无法正常启动的问题。当用户尝试启动 Docker 服务时，系统会返回"failed to register bridge driver: invalid argument"错误，而将 iptables 设置为 false 则可以暂时解决这个问题。

问题根源

经过社区技术人员的深入调查，发现问题的根源在于 Docker 28.0.0 版本对网络功能进行了升级，新增了对 ipset 工具的依赖。ipset 是 Linux 内核中的一个功能扩展，它允许管理员高效地管理大量 IP 地址集合和网络规则。

在 ARM 架构设备上，特别是使用定制内核的开发板（如 NVIDIA Jetson 系列）和树莓派等设备上，内核默认可能没有启用以下关键配置选项：

1. CONFIG_IP_SET
2. CONFIG_IP_SET_HASH_NET
3. CONFIG_NETFILTER_XT_SET

这些内核模块是 ipset 功能的基础支持，当它们缺失时，Docker 的网络控制器就无法正常初始化，导致服务启动失败。

临时解决方案

对于遇到此问题的用户，目前有以下几种临时解决方案：

1. 降级到 Docker 27.5.1 版本： 这是最直接的解决方案，可以暂时规避兼容性问题。用户可以通过包管理器指定安装旧版本。

2. 重新编译内核： 对于有能力修改内核配置的用户，可以重新编译内核，确保包含以下选项：

   CONFIG_IP_SET=m
   CONFIG_IP_SET_HASH_NET=m
   CONFIG_NETFILTER_XT_SET=m
   

3. 使用 --iptables=false 参数： 虽然这不是理想的长期方案，但可以通过禁用 iptables 来让 Docker 服务启动。不过这会限制部分网络功能。

官方修复方案

Docker 开发团队已经确认将在 28.0.1 版本中移除对 ipset 的强制依赖，以解决这一广泛的兼容性问题。这一改动预计将在近期发布。

技术建议

对于嵌入式开发者和 ARM 设备用户，建议：

1. 在升级 Docker 前，先使用 check-config.sh 脚本验证内核配置的兼容性
2. 关注 Docker 官方发布的 28.0.1 版本更新
3. 对于生产环境，建议暂缓升级到 28.0.0 版本

这个问题凸显了在不同硬件架构上保持软件兼容性的挑战，特别是在嵌入式系统和开发板等定制化程度较高的环境中。Docker 团队正在积极解决这一问题，以确保持续为所有平台用户提供稳定的服务体验。