Docker Rootless模式中slirp4netns端口驱动兼容性问题分析

在Docker 28.0.0版本中，Rootless模式使用slirp4netns作为端口驱动时出现了一个兼容性回归问题。当用户尝试通过docker run -p命令映射端口时，系统会报错"protocol 'tcp' is not supported by the RootlessKit port driver 'slirp4netns'"并拒绝创建容器。

问题背景

Rootless模式是Docker提供的一种无需root权限即可运行容器的方式，它通过RootlessKit工具实现网络隔离。在Rootless模式下，端口映射功能可以通过不同的驱动实现，其中slirp4netns是一种常见的用户态网络栈实现。

问题表现

当用户设置环境变量DOCKERD_ROOTLESS_ROOTLESSKIT_PORT_DRIVER=slirp4netns后，尝试运行以下命令时：

docker run -p 8080:80 nginx:alpine

系统会返回错误信息：

protocol "tcp" is not supported by the RootlessKit port driver "slirp4netns", discarding request for "[::]:8080"

技术原因分析

这个问题的根本原因在于Docker 28.0.0版本中对IPv6协议处理逻辑的修改。在RootlessKit的slirp4netns端口驱动实现中：

1. 当检测到IPv6协议(tcp6/udp6)时，驱动会主动拒绝请求，因为slirp4netns不支持IPv6
2. 但在错误处理逻辑中，错误信息错误地显示了协议为"tcp"而非实际的"tcp6"
3. 更严重的是，这个错误导致整个端口映射过程被中断，而不是仅跳过IPv6映射

解决方案

目前有两种可行的解决方案：

1. 临时解决方案：在端口映射中显式指定IPv4地址

docker run -p 0.0.0.0:8080:80 nginx:alpine

或者在docker-compose.yml中：

services:
  web:
    ports:
      - "0.0.0.0:8080:80"

2. 降级方案：将Docker降级到27.5版本

sudo apt-get install docker-ce=5:27.5.1-1~ubuntu.24.04~noble \
    docker-ce-rootless-extras=5:27.5.1-1~ubuntu.24.04~noble \
    docker-ce-cli=5:27.5.0-1~ubuntu.24.04~noble

问题修复进展

Docker开发团队已经确认了这个问题，并提交了修复代码。修复的核心思路是：

1. 正确识别协议类型(tcp6/udp6)
2. 当遇到不支持的协议时，仅跳过该协议映射而不是中断整个操作
3. 确保IPv4端口映射能够正常工作

技术细节补充

Rootless模式下的网络实现有其特殊性：

1. slirp4netns：这是一个用户态的网络栈实现，通过TAP设备将网络流量转发到用户空间处理
2. 协议支持限制：由于实现复杂度，slirp4netns目前不支持IPv6协议
3. RootlessKit架构：作为Rootless容器的核心组件，它负责处理用户命名空间、网络和端口转发等关键功能

对于需要完整IPv6支持的用户，建议考虑使用其他端口驱动如builtin或专用网络工具，但这可能需要更高的系统权限或额外的配置。