docker拉取镜像需为守护进程配置专属http代理，推荐优先使用/etc/docker/daemon.json中proxies字段按registry域名精确配置，仅匹配的仓库走指定代理；次选systemd drop-in文件全局设置并用no_proxy排除内网地址；临时调试可用命令行环境变量注入。
专属代理意味着该代理只用于镜像下载操作，不影响其他服务或主机网络，也不强制所有容器继承。最稳妥、推荐的方式是通过 Docker daemon 的 proxy 配置 实现——它专为 registry 访问设计，天然支持 per-registry 细粒度控制，且无需修改 systemd 或全局环境变量。
使用 daemon.json 配置 registry 专属代理
这是 Docker 官方推荐的、语义最清晰的方法，特别适合为特定镜像仓库（如 docker.elastic.co、ghcr.io、私有 registry）设置独立代理，而其他 registry 仍直连。
- 编辑
/etc/docker/daemon.json（若不存在则新建） - 在
proxies字段下按 registry 域名精确配置，例如：
{
"proxies": {
"https://docker.elastic.co": {
"httpProxy": "http://192.168.10.5:8080",
"httpsProxy": "http://192.168.10.5:8080",
"noProxy": "127.0.0.1,localhost"
},
"https://ghcr.io": {
"httpProxy": "http://10.0.1.20:3128"
}
}
}
✅ 优势：仅对匹配的 registry 生效；支持 HTTPS registry 直接用 http 代理（Docker 允许）；不干扰 host 网络或其它服务。
通过 systemd 设置守护进程级代理（全局但可隔离）
若需统一代理所有 registry 拉取行为，且希望与系统其他服务解耦，可用 systemd drop-in 文件。这种方式虽全局，但可通过 NO_PROXY 精确排除内部 registry，实现逻辑上的“专属”效果。
- 创建配置文件：
sudo mkdir -p /etc/systemd/system/docker.service.d - 写入
/etc/systemd/system/docker.service.d/proxy-for-pull.conf：
[Service] Environment="HTTP_PROXY=http://192.168.10.5:8080" Environment="HTTPS_PROXY=http://192.168.10.5:8080" Environment="NO_PROXY=localhost,127.0.0.1,my-registry.internal,.corp"
⚠️ 注意：Docker 会自动将这些变量用于 registry 请求；但需确保 NO_PROXY 包含所有不应走代理的内部地址（含域名后缀），否则私有仓库拉取会失败。
临时拉取时指定代理（命令行级专属）
适用于调试、CI 单次任务或无法修改宿主机配置的场景。本质是绕过 daemon，直接让 docker pull 进程读取环境变量。
- 执行前临时注入（仅本次生效）：
HTTP_PROXY=http://192.168.10.5:8080 HTTPS_PROXY=http://192.168.10.5:8080 docker pull docker.elastic.co/elasticsearch/elasticsearch:8.12.0
? 小技巧：可封装成函数或 alias，避免重复输入；但不可用于 docker build 中的 RUN 步骤（那需要 --build-arg 或 Dockerfile ENV）。
验证是否生效
配置后务必验证，重点检查是否真正作用于拉取环节：
- 查看 daemon 当前代理设置：
sudo systemctl show docker --property=Environment - 确认 daemon.json 解析正确：
sudo dockerd --config-file /etc/docker/daemon.json --validate - 实际测试拉取（带详细日志）：
docker --debug pull docker.elastic.co/elasticsearch/elasticsearch:8.12.0 2>&1 | grep -i proxy
