实时捕获 docker pull 网络请求需在客户端侧启用调试或中间代理：推荐用 tcpdump 过滤 registry-1.docker.io:443 流量，或 mitmproxy 拦截；限速须作用于 dockerd 进程本身，如通过代理（privoxy+trickle）或 iptables hashlimit；registry 审计需前置 Nginx 透传 X-Real-IP 并解析 JWT token。
如何实时捕获 docker pull 的完整网络请求日志
默认情况下，docker pull 不输出底层 HTTP 交互细节，你看到的只是进度条和镜像层哈希——这根本没法做合规审计。真正能抓到请求 URL、响应头、证书链、重定向路径的，只有在客户端侧启用调试模式或中间代理。
实操建议：
- 临时启用 Docker 守护进程调试日志：
sudo dockerd --debug（需停掉现有服务，且日志分散在/var/log/docker.log或journalctl -u docker中，HTTP 请求体仍不完整） - 更可靠的方式是用
mitmproxy或tcpdump拦截 Docker daemon 与 registry 的通信：Docker 默认走 Unix socket（/var/run/docker.sock），但实际拉取时由 daemon 发起 HTTPS 请求到registry-1.docker.io等地址，可对宿主机 outbound 流量抓包 - 关键点：必须过滤目标端口
443且匹配 SNI 域名（如registry-1.docker.io），否则混入大量无关流量；tcpdump -i any -w pull.pcap port 443 and host registry-1.docker.io
docker pull 流量限速为什么不能靠 --network 或 docker run 参数
很多人试过给 docker pull 加 --network my-limited-net，或者想用 docker run --network=host 配合 tc 限速，结果完全无效——因为 docker pull 是由 Docker daemon 主动发起的，不经过容器网络栈，也不受容器级网络配置影响。
实操建议：
- 限速必须作用于 daemon 进程本身：在宿主机上对
dockerd进程的 outbound 连接限速，例如用tc绑定其 PID 对应的 cgroup 或直接限制其使用的网卡出口带宽 - 更稳妥的做法是让 daemon 走一个受限的 proxy：配置
/etc/docker/daemon.json中的proxies字段，指向一个支持带宽控制的 HTTP/HTTPS 代理（如privoxy+trickle，或nginx用limit_rate） - 注意 registry 认证头（
Authorization: Bearer ...）会被代理透传，但某些代理会改写User-Agent或丢弃部分 header，导致 401 错误；务必测试curl -v -x http://localhost:8080 https://registry-1.docker.io/v2/
Registry 层面能否审计拉取行为？docker registry 自建服务的日志盲区
如果你用的是自建 docker registry（v2），它的默认日志只记录 GET /v2/.../manifests/... 和 GET /v2/.../blobs/...，但不会记录谁拉的、从哪台机器拉的、用了什么 token——因为鉴权通常由前置反向代理（如 Nginx）或外部 OAuth 服务完成，registry 本身不解析 bearer token。
实操建议：
- 必须把真实客户端 IP 透传给 registry：Nginx 配置里加
proxy_set_header X-Real-IP $remote_addr;，并在 registry 的log.level设为debug，才能在日志里看到X-Real-IP字段 - Token 解析要靠外部服务：registry 日志里的
Authorizationheader 是加密字符串，需用 registry 的root.crt和私钥解码 JWT，提取sub（用户名）和access_token对应的 scope - 常见坑：Docker CLI 在拉取时可能复用旧 token，导致日志中同一 token 出现在多个 IP 上；审计时得关联时间戳+IP+User-Agent（
docker/24.0.5 go/go1.21.11 git-commit/xxx）才准
生产环境最轻量的审计+限速组合方案
不要试图魔改 Docker daemon 源码或写插件。真实压测下来，稳定性和维护成本最低的路径，是把流量“引出来”再处理。
实操建议：
- 在宿主机部署
iptables+LOGtarget，仅对发往 registry 域名的出向连接打日志：iptables -t mangle -A OUTPUT -p tcp --dport 443 -m string --string "registry-1.docker.io" --algo bm -j LOG --log-prefix "DOCKER-PULL:" - 用
iptables的hashlimit模块做粗粒度限速（比如单 IP 每分钟最多 100MB）：iptables -A OUTPUT -p tcp --dport 443 -m hashlimit --hashlimit-above 100mb/min --hashlimit-burst 10mb --hashlimit-mode srcip --hashlimit-name docker_pull_limit -j DROP - 关键提醒：所有基于
iptables的规则都对 Docker bridge 网络无效（因为流量不经过 OUTPUT 链），必须确保 daemon 使用默认docker0网桥且无自定义--iptables=false配置
真正难的不是某一步怎么写命令，而是 registry 域名会动态解析（CNAME 到 production.cloudflare.docker.com）、token 有效期长、pull 可能跨多轮重试——审计字段对不齐，限速就变成随机熔断。
