直接查看docker守护进程日志可快速确认dns解析问题，因“no such host”等错误均发生在dns阶段，日志中会出现lookup registry-1.docker.io: no such host、i/o timeout或could not resolve host等关键词，结合journalctl -u docker | grep -i "lookup|no such host"定位，并通过cat /etc/resolv.conf和nslookup验证系统dns配置。
直接看 Docker 守护进程日志，能快速确认是不是 DNS 解析出问题——因为拉取失败时，“no such host” 这类错误几乎都发生在 DNS 阶段，日志里会明确打印域名解析失败的线索。
Docker 日志里找 DNS 相关报错
守护进程（dockerd）在尝试连接镜像仓库前，必须先解析 registry-1.docker.io 这类域名。如果解析失败，日志中会出现以下典型关键词：
lookup registry-1.docker.io: no such hostdial tcp: lookup .*: no such host-
read udp .*: i/o timeout（常表示 DNS 查询发出去但没收到响应） -
could not resolve host（部分系统或低版本 Docker 可能用此表述）
这些不是客户端提示，而是 dockerd 自己记录的真实失败点，比终端报错更底层、更可信。
查看日志的正确方式
别只看 docker info 或终端输出，要查守护进程原始日志：
-
Linux（systemd 系统）：运行
sudo journalctl -u docker --since "1 hour ago" | grep -i "lookup\|no such host\|udp" -
macOS（Homebrew 安装）：日志通常在
/usr/local/var/log/docker.log，用tail -n 50 /usr/local/var/log/docker.log | grep -i lookup -
Windows WSL2：进入 WSL，执行同 Linux 命令；若用 Docker Desktop，可在设置 → Troubleshoot → Export logs 中获取完整日志包，再搜索
lookup
重点看报错时间是否和你执行 docker pull 的时间吻合，避免误读旧日志。
结合系统 DNS 配置交叉验证
一旦日志确认是 DNS 问题，立刻检查系统级配置：
- 运行
cat /etc/resolv.conf（Linux/WSL），看 nameserver 是否指向不可用地址（比如内网 DNS 无法解析公网域名） - 执行
nslookup registry-1.docker.io 8.8.8.8，用公共 DNS 强制测试——如果成功，说明本地 DNS 有问题；如果也失败，可能是网络拦截或防火墙阻断 UDP 53 - 注意：Docker 默认不读取用户 shell 的
$DNS环境变量，它只认系统级 DNS 配置或/etc/docker/daemon.json中显式指定的dns字段
临时绕过 DNS 问题快速验证
不想改配置也能快速判断是不是 DNS 导致的拉取失败：
- 手动把
registry-1.docker.io的 IP 写进/etc/hosts（例如：152.199.36.141 registry-1.docker.io），再试拉取——成功就坐实 DNS 问题 - 或者用
curl -v https://registry-1.docker.io/v2/测试连通性，如果 curl 也报 name lookup failed，那不是 Docker 的锅，是整个系统 DNS 层故障
日志不会撒谎，但它需要你用对方法去读。盯住 “lookup” 和 “no such host”，基本就能把 DNS 问题从一堆网络干扰中干净利落地拎出来。
