拉取镜像超时本质是docker守护进程无法连通镜像仓库，主因是国内直连海外registry-1.docker.io导致高延迟、丢包或限速；核心解法为换国内镜像源（如阿里云加速地址）、正确配置代理或dns、开放防火墙443端口，并可通过tcpdump抓包验证连通性。
拉取镜像超时，核心是 Docker 守护进程连不上镜像仓库——不是命令写错，而是网络通路卡住了。国内用户尤其常见，因为 registry-1.docker.io 服务器在海外，直连容易高延迟、丢包或被限速。解决方向很明确：换更快的路径、修通当前路径、或者绕开它。
换国内镜像源（最常用且见效快）
不改网络，只改“去哪下”。阿里云、腾讯云、中科大、USTC 等都提供免费加速服务，实测可提速 3–5 倍。
- 登录阿里云容器镜像服务，获取你的专属加速地址（形如
https://xxxx.mirror.aliyuncs.com） - 编辑
/etc/docker/daemon.json（Windows/macOS 可通过 Docker Desktop 设置界面修改）：{ "registry-mirrors": ["https://xxxx.mirror.aliyuncs.com"] } - 保存后重启 Docker：
sudo systemctl restart docker（Linux）
或点击 Docker Desktop 的 “Restart” 按钮（macOS/Windows） - 验证是否生效：
docker info | grep "Registry Mirrors"
检查代理和防火墙（企业/校园网高频问题）
如果你在公司、学校或用了全局代理，Docker 很可能没继承或配错代理，导致请求发不出去。
- 先查环境变量：
echo $HTTP_PROXY和echo $HTTPS_PROXY，看有没有值；有但拉取仍失败，说明 Docker 没用上 - 给 Docker 单独配代理：创建文件
/etc/systemd/system/docker.service.d/http-proxy.conf，内容为：[Service] Environment="HTTP_PROXY=http://your-proxy:8080" Environment="HTTPS_PROXY=http://your-proxy:8080"
- 重载并重启：
sudo systemctl daemon-reload && sudo systemctl restart docker - 检查防火墙是否拦了 443 端口：
sudo ufw status（Ubuntu）或临时关掉测试：sudo ufw disable
优化 DNS 和基础连通性（常被忽略的细节）
DNS 解析慢或失败，会导致连接卡在“找地址”阶段，日志里看不到明显报错，但就是不动。
- 测试解析是否正常：
nslookup registry-1.docker.io或dig registry-1.docker.io；若超时或返回空，说明 DNS 有问题 - 临时换公共 DNS 测试：
echo "nameserver 8.8.8.8" | sudo tee /etc/resolv.conf - 确认基础连通：
ping -c 4 registry-1.docker.io，如果丢包严重或延迟 >300ms，换网络或用手机热点试试 - 抓包确认是否真连上了：
sudo tcpdump -i any host registry-1.docker.io and port 443 -c 5；没输出说明请求根本没发出去
临时替代方案（救急用）
配置来不及或想快速验证是不是源的问题，可以跳过默认配置直接拉：
- 用镜像加速域名直拉：
docker pull do.nark.eu.org/library/ubuntu:22.04 - 用可信镜像中心：
docker pull atomhub.openatom.cn/amd64/nginx:1.25（覆盖主流基础镜像） - 离线导入：在能拉的机器上
docker save -o ubuntu.tar ubuntu:22.04，再拷贝过去docker load -i ubuntu.tar
