Docker 28.0版本中Rootless模式下的IPv6端口映射问题解析

在Docker 28.0.0版本中，当用户使用Rootless模式运行容器时，如果尝试通过-p参数进行端口映射，可能会遇到一个关于IPv6端口映射的错误提示。这个错误表现为系统拒绝TCP协议在IPv6地址上的端口映射请求，导致容器无法正常启动。

问题背景

Rootless模式是Docker提供的一种无需root权限即可运行容器的方式，它通过RootlessKit工具实现网络隔离。在28.0.0版本中，当用户设置环境变量DOCKERD_ROOTLESS_ROOTLESSKIT_PORT_DRIVER=slirp4netns时，系统会强制使用slirp4netns作为端口驱动。

问题原因

问题的根源在于Docker 28.0.0版本中引入的一个代码变更。这个变更导致当系统检测到IPv6端口映射请求时，会错误地判断协议类型，并直接拒绝请求，而不是像之前版本那样优雅地降级处理。

具体来说，在RootlessKit的端口驱动处理逻辑中，系统错误地将IPv6地址的协议类型判断为"tcp6"，而slirp4netns驱动实际上只支持标准的"tcp"协议。这个严格的检查导致所有IPv6端口映射请求都被拒绝。

影响范围

这个问题主要影响：

1. 使用Docker 28.0.0版本的用户
2. 在Rootless模式下运行容器的场景
3. 尝试进行IPv6端口映射的操作

解决方案

目前有以下几种解决方案：

1. 临时解决方案：

   • 在端口映射中明确指定IPv4地址，例如将8080:80改为0.0.0.0:8080:80
   • 这种方法适用于不需要IPv6支持的场景

2. 版本回退方案：

   sudo apt-get install docker-ce=5:27.5.1-1~ubuntu.24.04~noble docker-ce-rootless-extras=5:27.5.1-1~ubuntu.24.04~noble docker-ce-cli=5:27.5.0-1~ubuntu.24.04~noble
   systemctl --user restart docker
   

3. 等待官方修复： Docker社区已经意识到这个问题，并正在开发修复补丁。用户可以关注后续版本更新。

技术细节

在底层实现上，RootlessKit的slirp4netns驱动确实不支持IPv6协议。在之前的版本中，Docker会优雅地处理这种情况，只建立IPv4的端口映射。但在28.0.0版本中，这个容错机制被意外破坏，导致系统直接报错而不是降级处理。

这个问题也反映出在Rootless模式下网络功能的一些限制。用户在使用高级网络功能时，需要了解Rootless模式的这些限制，并根据实际需求选择合适的配置方案。

最佳实践建议

对于需要使用Rootless模式的用户，建议：

1. 明确了解自己的网络需求，特别是是否需要IPv6支持
2. 在端口映射时显式指定IP版本，避免依赖自动检测
3. 关注Docker的版本更新日志，特别是涉及Rootless功能的变更
4. 在生产环境升级前，先在测试环境验证关键功能

随着Docker社区对这个问题的修复，预计在后续版本中会恢复原有的优雅降级机制，为用户提供更好的使用体验。