Docker 28.0.0 在ARM设备上的网络初始化问题分析与解决方案

问题背景

近期在Docker 28.0.0版本发布后，部分ARM架构设备用户报告了无法正常启动Docker服务的问题。当尝试启动dockerd守护进程时，系统会报错"failed to start daemon: Error initializing network controller: error obtaining controller instance: failed to register 'bridge' driver: invalid argument"。这个问题主要影响使用自定义内核的ARM开发板，如NVIDIA Jetson系列和树莓派等设备。

问题根源分析

经过Docker开发团队的调查，发现此问题源于Docker 28.0.0版本对网络功能的一项改进。新版本在iptables模式下运行时，需要依赖Linux内核的IP_SET功能模块。具体需要以下三个内核模块支持：

1. CONFIG_IP_SET
2. CONFIG_IP_SET_HASH_NET
3. CONFIG_NETFILTER_XT_SET

这些模块在大多数x86架构的Linux发行版中默认启用，但在部分ARM设备的定制内核中可能未被包含。当这些模块缺失时，Docker的网络控制器初始化就会失败。

影响范围

此问题主要影响以下环境：

• 使用ARM架构的设备（如树莓派、NVIDIA Jetson等）
• 运行自定义编译的Linux内核
• 内核配置中未启用上述IP_SET相关模块
• 使用Docker 28.0.0版本

临时解决方案

对于遇到此问题的用户，目前有以下几种临时解决方案：

方案一：启用内核IP_SET模块（推荐）

如果设备允许重新编译内核，建议在内核配置中启用以下选项：

CONFIG_IP_SET=m
CONFIG_IP_SET_HASH_NET=m
CONFIG_NETFILTER_XT_SET=m

然后重新编译并安装内核。

方案二：降级Docker版本

可以将Docker降级到27.5.1版本，这是28.0.0之前的最后一个稳定版本。在Ubuntu系统上可以使用以下命令：

sudo apt install docker-ce=5:27.5.1-1~ubuntu.24.04~jammy docker-ce-cli=5:27.5.1-1~ubuntu.24.04~jammy containerd.io
sudo apt-mark hold docker-ce docker-ce-cli containerd.io
sudo systemctl restart docker

方案三：禁用iptables（不推荐）

在dockerd启动参数中添加--iptables=false可以绕过此问题，但这会禁用Docker的网络地址转换(NAT)功能，可能影响容器网络连接：

sudo dockerd --iptables=false

官方修复进展

Docker开发团队已经确认此问题，并计划在28.0.1版本中移除对ipset的依赖。这将从根本上解决此兼容性问题。同时，团队也在开发原生的nftables支持，这将为未来的网络功能提供更好的基础。

最佳实践建议

对于ARM设备用户，建议采取以下措施：

1. 在升级到Docker 28.x前，先检查内核配置是否包含必要的网络模块
2. 可以使用Docker提供的check-config.sh脚本验证系统兼容性
3. 关注Docker官方发布说明，及时获取28.0.1版本的更新
4. 对于生产环境，建议在测试环境中验证新版本后再进行升级

总结

Docker 28.0.0在ARM设备上的网络初始化问题是一个典型的软件依赖与硬件平台兼容性问题。通过理解问题根源，用户可以采取适当的临时解决方案，同时期待官方即将发布的修复版本。这也提醒我们在软件升级过程中，特别是在异构计算环境中，需要更加关注兼容性验证。