Docker 28.0 版本中 Rootless 模式下的端口映射问题解析

问题背景

在 Docker 28.0.0 版本中，当用户使用 Rootless 模式运行容器并尝试进行端口映射时，可能会遇到一个错误提示："protocol 'tcp' is not supported by the RootlessKit port driver 'slirp4netns', discarding request for '[::]:8080'"。这个问题主要出现在设置了 DOCKERD_ROOTLESS_ROOTLESSKIT_PORT_DRIVER=slirp4netns 环境变量的情况下。

技术原理分析

Rootless Docker 是 Docker 的一种运行模式，允许非特权用户在不需要 root 权限的情况下运行 Docker 守护进程和容器。在这种模式下，Docker 使用 RootlessKit 来实现网络隔离和端口转发功能。

slirp4netns 是 RootlessKit 支持的一种网络驱动方式，它通过用户空间网络栈实现容器的网络连接。然而，在 Docker 28.0.0 版本中，当尝试映射 IPv6 地址（表示为 [::]）时，会出现兼容性问题。

问题根源

问题的根本原因在于代码中对协议类型的处理逻辑存在缺陷。具体来说：

1. 当用户执行 docker run -p 8080:80 这样的命令时，Docker 会尝试同时映射 IPv4 和 IPv6 端口
2. 对于 IPv6 映射请求，RootlessKit 的 slirp4netns 驱动无法正确处理
3. 错误处理逻辑过于严格，导致整个端口映射操作失败，而不仅仅是跳过不支持的 IPv6 映射

解决方案

目前有以下几种解决方案：

1. 临时解决方案：

   • 在端口映射中明确指定 IPv4 地址：0.0.0.0:8080:80 而不是简单的 8080:80
   • 或者降级到 Docker 27.5 版本

2. 永久解决方案：

   • 等待官方修复补丁发布（已在 PR 中修复）
   • 修复后的版本将正确处理不支持的协议类型，仅跳过不支持的映射而不是完全失败

技术影响

这个问题主要影响：

• 使用 Rootless 模式的 Docker 用户
• 使用 slirp4netns 作为端口驱动的环境
• 需要端口映射功能的容器部署

对于大多数生产环境，建议使用明确的 IPv4 地址映射或等待官方修复版本发布。

最佳实践建议

对于 Rootless Docker 用户，建议：

1. 在端口映射时明确指定 IP 地址类型
2. 定期检查 Docker 的更新日志，特别是关于 Rootless 模式的改进
3. 在测试环境中验证新版本 Docker 的功能，再应用到生产环境
4. 关注官方文档中关于 Rootless 模式的特殊配置说明

这个问题虽然影响特定场景下的使用，但通过正确的配置或版本选择可以轻松规避，不会对 Docker 的核心功能造成长期影响。