最直接有效的办法是切换国内镜像源，核心为全局配置加速器或手动添加前缀：编辑daemon.json添加registry-mirrors地址并重启docker；拉取gcr/k8s/ghcr等镜像时需用m.daocloud.io/前缀。
最直接有效的办法是切换国内镜像源，避开直连国外仓库造成的高延迟、超时和限速问题。核心思路就两条：全局配置加速器让所有拉取自动走国内节点，或对特定国外镜像手动加前缀走专用代理。
配置全局镜像加速器（适合日常开发）
这是覆盖范围最广、一劳永逸的方式，适用于 docker.io 官方镜像及大多数通用场景：
- 编辑 /etc/docker/daemon.json（Linux）或通过 Docker Desktop 设置界面（Mac/Windows）
- 填入至少一个国内可用的 registry-mirrors 地址，例如：
{"registry-mirrors": ["https://docker.m.daocloud.io", "https://hub-mirror.c.163.com"]} - 保存后执行 sudo systemctl daemon-reload && sudo systemctl restart docker（Linux），或点击 Docker Desktop 的 Apply & Restart
- 运行 docker info，确认 Registry Mirrors 列出已配置的地址
手动添加前缀拉取特定国外镜像（专治 gcr/k8s/ghcr）
当你要拉取 Google、Kubernetes、GitHub 或 Microsoft 的镜像时，registry-mirrors 不起作用——必须用前缀法，因为这些仓库域名不能被统一镜像服务代理：
- 原始命令：
docker pull gcr.io/google-containers/pause:3.9 - 加速写法：
docker pull m.daocloud.io/gcr.io/google-containers/pause:3.9 - 同理替换其他源：
docker pull m.daocloud.io/ghcr.io/owner/repo:tagdocker pull m.daocloud.io/registry.k8s.io/pause:3.9 - 优点：无需改配置、立即生效、hash 完全一致、支持所有被墙仓库
验证与排查小技巧
配置完别急着跑项目，先快速验证是否真起效：
- 用 docker pull hello-world 测试基础镜像是否秒下
- 用 curl -I https://docker.m.daocloud.io/v2/ 检查加速域名是否可通（返回 200 或 401 即正常）
- 如果仍报 TLS handshake timeout 或 context deadline exceeded，大概率是 daemon.json 格式错误或未重启 Docker 服务
- 避免同时配置过多镜像源，Docker 会顺序尝试，反而拖慢响应
