Docker 28.0.0版本IPv6配置变更解析

在Docker 28.0.0版本中，用户报告了一个关于IPv6配置的重要变更问题。当用户在Linux内核中完全禁用IPv6后，即使设置了"ipv6": false的配置，Docker守护进程仍然会尝试加载IPv6相关的iptables规则，导致服务启动失败。

问题背景

在之前的Docker版本中，用户可以通过在/etc/docker/daemon.json配置文件中设置"ipv6": false来完全禁用IPv6功能。然而在升级到28.0.0版本后，这一配置行为发生了变化。当用户在内核层面通过grub参数"ipv6.disable=1"禁用IPv6后，Docker守护进程启动时会尝试添加IPv6的iptables规则，但由于内核不支持IPv6，导致规则添加失败，最终使Docker服务无法启动。

技术细节分析

Docker的网络栈实现中，"ipv6"配置项实际上仅控制默认桥接网络(default bridge)是否启用IPv6功能，而不会影响其他网络组件的IPv6行为。在28.0.0版本中，Docker默认会尝试配置IPv6相关的网络隔离规则，即使"ipv6"设置为false。

这一变更源于27.0.0版本中引入的默认启用ip6tables功能。在28.0.0版本中，这一行为变得更加严格，即使IPv6在内核层面被禁用，Docker仍会尝试配置相关规则。

解决方案

要完全禁用Docker中的IPv6功能，用户需要在/etc/docker/daemon.json配置文件中同时设置两个参数：

{
  "ipv6": false,
  "ip6tables": false
}

其中：

• "ipv6": false - 禁用默认桥接网络的IPv6功能
• "ip6tables": false - 完全禁用Docker对IPv6 iptables规则的配置

配置建议

对于安全敏感的环境，建议采取以下完整配置方案：

1. 在内核启动参数中添加ipv6.disable=1
2. 在/etc/docker/daemon.json中同时设置ipv6和ip6tables为false
3. 使用传统iptables而非nftables作为防火墙后端

版本兼容性说明

这一变更主要影响从27.x版本升级到28.0.0的用户。新安装的环境如果从一开始就配置了ip6tables: false则不会遇到此问题。建议用户在升级前检查并更新配置文件，以避免服务中断。

总结

Docker 28.0.0版本对IPv6处理逻辑的变更体现了容器网络安全的加强趋势。用户需要理解"ipv6"和"ip6tables"两个配置项的不同作用，根据实际需求进行合理配置。对于完全禁用IPv6的场景，必须同时设置这两个参数才能确保系统正常工作。