核心问题是本地环境与远程仓库连接链路异常，需按dns解析→网络连通→镜像源→防火墙/资源四环节逐项排查：先用dig/nslookup验证域名解析，再用curl -v测试https连通性，配置阿里云镜像加速器替换docker hub，最后检查防火墙、磁盘空间及docker日志定位具体失败阶段。
拉取 Docker 镜像时遇到网络超时或下载失败，核心问题通常不是镜像本身，而是本地环境与远程仓库之间的连接链路出了问题。重点不在重试次数，而在精准定位卡点——是解析不到地址？连不上服务器？还是连上了却传不下来？下面从四个最常出问题的环节切入，给出可立即验证、可快速生效的操作建议。
确认 DNS 解析是否正常
Docker 拉取镜像的第一步是把 registry-1.docker.io 这类域名转成 IP。如果这一步卡住，后续全白搭。常见表现是报错里带 no such host 或 lookup timeout。
- 运行
dig registry-1.docker.io +short或nslookup registry-1.docker.io，看能否返回一串 IP 地址 - 如果没结果，临时改 DNS：Linux 上执行
echo "nameserver 8.8.8.8" | sudo tee /etc/resolv.conf；Mac/Windows 可在网络设置里手动填 8.8.8.8 和 114.114.114.114 - 更彻底的做法是让 Docker 自己用指定 DNS，在
/etc/docker/daemon.json中加一行："dns": ["8.8.8.8", "114.114.114.114"]，然后重启 Docker
检查是否能真正连上镜像仓库
能解析 ≠ 能通信。很多企业网络会屏蔽 443 出站流量，或代理配置只设了系统变量但没给 Docker 继承。
- 用
curl -v https://registry-1.docker.io/v2/测试——成功返回 HTTP 200 表示通；超时或 connection refused 就说明网络层被拦 - 若需代理，不能只靠
export HTTPS_PROXY=...，Docker 守护进程默认不读这个。必须在/etc/systemd/system/docker.service.d/http-proxy.conf里写明：[Service]<br>Environment="HTTPS_PROXY=http://your-proxy:8080"<br>Environment="NO_PROXY=localhost,127.0.0.1,::1"
- 改完执行
sudo systemctl daemon-reload && sudo systemctl restart docker
换更快更稳的镜像源
直连 Docker Hub 对国内用户来说，延迟高、丢包多，不是“可能超时”，而是“大概率超时”。这不是你的网络差，是物理距离决定的。
- 推荐使用阿里云镜像加速器：登录 阿里云容器镜像服务，免费获取专属加速地址（形如
https://xxx.mirror.aliyuncs.com） - 编辑
/etc/docker/daemon.json，加入：{ "registry-mirrors": ["https://xxx.mirror.aliyuncs.com"] } - 保存后重启 Docker：
sudo systemctl restart docker，再运行docker info | grep Mirrors确认生效 - 不推荐堆多个镜像源（比如同时写阿里云+腾讯云），Docker 是顺序尝试，反而增加失败路径
排除防火墙和资源限制干扰
有些超时不是网络慢，而是被主动掐断，或者磁盘/内存根本撑不住。
- 临时关闭防火墙测试：
sudo ufw disable（Ubuntu）或sudo systemctl stop firewalld（CentOS），再试拉取。若成功，就需放行 443/tcp 出站端口 - 检查磁盘空间：
df -h /var/lib/docker，剩余低于 10% 容易导致拉取中断；清理命令：docker system prune -a -f - 查看 Docker 日志找线索：
sudo journalctl -u docker --since "1 hour ago" | grep -i "error\|timeout"，重点关注具体失败阶段（是 manifest 拉不到？还是某个 layer 下载卡住？）
