docker镜像离线部署需分三类场景：无公网/弱网用docker save+gzip压缩+离线拷贝；有局域网无外网则部署轻量私有registry实现批量分发；镜像过大时应优先通过multi-stage构建、alpine基础镜像及清理缓存等方式瘦身，再传输。
直接用 docker push 拉取不现实——边缘机房往往网络受限、带宽窄、甚至完全离线。高效推送的关键不是“上传速度”，而是“减少传输量 + 规避网络依赖 + 适配边缘资源”。下面分三类场景给出可落地的方案。
一、无公网/弱网环境：用 save + 离线拷贝（最稳）
适用于物理机之间无直连网络、或仅能通过U盘/内网FTP/跳板机传文件的场景。核心是把镜像转成单个压缩包，再人工或脚本搬运。
- 在源机器导出镜像（支持多镜像打包，节省次数）：
docker save -o app-all.tar nginx:alpine my-service:v2.1 redis:7-alpine - 用
gzip压缩进一步减体积（实测通常压缩 30%~50%）：gzip app-all.tar→ 得到app-all.tar.gz - 拷贝到目标物理机后解压并加载：
gunzip app-all.tar.gz && docker load -i app-all.tar
注意：docker save 保留镜像全部层和元数据，加载后标签、历史记录都完整；比 export/import 更可靠（后者丢 layer 信息，不推荐用于生产迁移）。
二、有局域网但无外网：部署轻量私有 Registry（适合批量+复用）
如果边缘机房有多台物理机，且局域网互通（哪怕只有千兆内网），建议在其中一台部署轻量 Registry（如 registry:2 或 Harbor 的精简版），作为本地镜像缓存中心。
- 启动 Registry（占用极小，50MB 内存起步）：
docker run -d -p 5000:5000 --restart=always --name registry registry:2 - 源机器打标并推送：
docker tag my-app:v1.2 192.168.10.50:5000/my-app:v1.2docker push 192.168.10.50:5000/my-app:v1.2 - 目标物理机配置 Docker 信任该地址（若用 HTTP）：
编辑/etc/docker/daemon.json，加：{"insecure-registries":["192.168.10.50:5000"]}，然后systemctl restart docker - 拉取即可：
docker pull 192.168.10.50:5000/my-app:v1.2
优势：后续新增镜像只需 push 一次，所有边缘节点都能快速拉取；支持镜像版本管理、自动清理策略，运维可持续。
三、镜像本身过大？先瘦身再传（省带宽最有效）
数百兆镜像往往含冗余层、调试工具、未清理的构建缓存。推之前优化，比提速传输更治本。
- 改用
multi-stage build，只复制最终二进制 —— Go/Python 编译型服务可从 400MB 降到 50MB 以内 - 基础镜像换
alpine或distroless：
例如FROM gcr.io/distroless/static-debian12，体积常压至 10MB 级 - 构建时加
--no-cache和清理命令：RUN apt-get clean && rm -rf /var/lib/apt/lists/*（Debian系） - 用
docker scout cve或trivy扫描，删掉高危包或换版本
瘦身后的镜像不仅传输快，启动更快、攻击面更小，特别契合边缘设备资源紧张的特点。
