https://forums.docker.com/t/failing-to-start-dockerd-failed-to-create-nat-chain-docker/78269

docker 安装程序使用 iptables 进行 nat。不幸的是 Debian 使用 nftables。您可以将条目转换为 nftables，或者设置 Debian 以使用旧版 iptables。

sudo update-alternatives --set iptables /usr/sbin/iptables-legacy
sudo update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

然后就能继续安装/启动docker-ce了。