docker守护进程代理配置是解决from指令拉取失败的关键，需通过systemd或daemon.json设置http_proxy/https_proxy，并重启docker服务生效。
在受限网络中，FROM 指令本身不支持直接配置代理，它依赖 Docker 守护进程（daemon）的网络能力来拉取基础镜像。所以关键不是改 Dockerfile，而是让 docker build 过程能通过代理访问外部 Registry（如 docker.io、ghcr.io）。
确保 dockerd 代理配置生效
Docker 守护进程（dockerd）才是实际发起镜像拉取请求的一方。客户端（docker pull 或 docker build）触发构建时，FROM 会由 daemon 执行拉取。因此必须为 daemon 配置 HTTP/HTTPS 代理：
- 编辑或创建
/etc/docker/daemon.json，加入代理设置：
- 重启 daemon：
sudo systemctl restart docker - 验证是否生效：
systemctl show --property=Environment docker或检查日志journalctl -u docker | grep proxy
用私有 Registry 代理替代公网直连
比 client/daemon 代理更稳定、安全、可审计的方式是部署内部镜像代理服务（如 Harbor 或 Nexus Repository），并把所有 FROM 指向内部地址：
- 配置 Harbor 启用上游代理（例如 upstream 为
https://registry-1.docker.io） - 在 Dockerfile 中写：
FROM harbor.example.com/base/alpine:3.18，而非FROM alpine:3.18 - 配合签名验证和镜像打标，还能规避污染、限速、断连等风险
构建时临时指定镜像源（适合调试）
如果无法修改 daemon 配置，又需快速验证，可在 docker build 时用 --build-arg + ARG + FROM 组合实现动态基础镜像源：
- Dockerfile 开头添加：
ARG BASE_IMAGE=alpine:3.18，然后FROM ${BASE_IMAGE} - 构建命令：
docker build --build-arg BASE_IMAGE=harbor.example.com/base/alpine:3.18 . - 注意：这要求目标镜像已在本地存在，或该地址可通过当前 daemon 网络访问
避免踩坑的硬性提醒
-
~/.docker/config.json中的代理只影响docker login/pull等客户端命令，对 FROM 拉取无效 - 不要用
latest标签 —— 受限网络下缓存不可靠，应固定 digest（如@sha256:abc...）或明确版本号 - 多阶段构建中每个
FROM都会触发一次拉取，需确保所有阶段的基础镜像都可通过代理或内网 Registry 获取
