问题的根源在于：为了修复一个名为 CVE-2025-52881 的高危安全漏洞，containerd.io (1.7.28-2) 修改了内部的权限检查机制。然而，这项改动在嵌套虚拟化环境（例如在 LXC 容器中运行 Docker） 中，会与 AppArmor 安全模块产生冲突，导致 runc 运行时在启动容器时被错误地拦截并报出 "permission denied"，致使所有容器无法启动。
| 节点名称 | 节点地址 | 测试方法 |
|---|---|---|
| 北京电信 | 220.181.136.1 | icmp |
| 北京联通 | 202.106.50.1 | icmp |
| 北京移动 | 221.179.155.1 | icmp |
| 湖北移动 | 111.48.200.154 | icmp |
| 上海电信 | 114.80.236.1 | icmp |
| 上海联通 | 140.207.236.1 | icmp |
| 上海移动 | 221.181.74.1 | icmp |
| 深圳电信 A | 59.36.213.1 | icmp |
| 深圳电信 B | 103.109.20.1 | icmp |
| 深圳移动 | 120.233.53.1 | icmp |
| Cloudflare | 1.0.0.1 | icmp |
由于 Openresty 并没有官方提供 Trixie 的预编译 deb 包，所以我选择降级到 bookworm 来安装。安装命令如下：
互联网控制消息协议（Internet Control Message Protocol，ICMP）是互联网协议族的核心协议之一。它用于 IP 协议中发送控制消息，提供可能发生在通信环境中的各种问题反馈。它通常不由网络程序直接使用（除了 ping 和 traceroute）。 IPv4 中的 ICMP 被称作 ICMPv4，IPv6 中的 ICMP 则被称作 ICMPv6
免责声明：本文只用作技术分析和学习，任何利用本文内容进行非法攻击的行为均与作者无关！