京东云主机使用Docker时网络不通导致拉取镜像失败如何解决？

京东云主机（JD Cloud ECS）使用 Docker 时出现「网络不通、拉取镜像失败」（如 docker pull hello-world 超时、net/http: TLS handshake timeout、connection refused 或 no route to host 等），通常是由于网络策略、DNS 配置、Docker 守护进程或京东云特有环境限制导致。以下是系统化排查与解决方案：

✅ 一、快速自查清单（先执行）

# 1. 检查主机基础网络（确保能访问网络）
curl -v https://hub.docker.com
ping -c 3 8.8.8.8
ping -c 3 registry-1.docker.io

# 2. 检查 Docker 是否运行
systemctl status docker

# 3. 查看 Docker 日志（关键线索）
journalctl -u docker -n 50 --no-pager | grep -i "error|fail|timeout|dns"

# 4. 测试 Docker 内部网络连通性（用 busybox 模拟容器网络）
docker run --rm -it busybox ping -c 3 8.8.8.8
docker run --rm -it busybox wget -qO- --timeout=10 https://hub.docker.com/healthcheck

✅ 二、常见原因及对应解决方案

🔹 1. 京东云安全组/网络 ACL 未放行出方向流量

⚠️ 默认安全组可能仅允许入方向，出方向（Outbound）被拒绝将导致无法访问 Docker Hub（registry-1.docker.io:443, auth.docker.io:443 等）

✅ 解决：

• 登录 京东云控制台 → 云主机 ECS → 找到对应实例 → 安全组 → 编辑规则
• 添加出方向规则（Outbound Rule）：
  • 协议：TCP
  • 端口范围：443（必须）、80（可选）、53（DNS，强烈建议）
  • 目标：0.0.0.0/0（或最小化授权如 104.16.0.0/12, 104.20.0.0/16, 172.64.0.0/13 等 Docker Hub IP 段，但推荐先全放开测试）
• ✅ 保存后重试 docker pull

💡 提示：京东云部分地域（如北京、上海）的公网出口可能受 NAT 网关策略影响，确认「弹性公网 IP（EIP）已绑定且带宽充足」。

🔹 2. Docker DNS 配置错误（最常见！）

京东云默认 DNS（如 114.114.114.114 或内网 DNS）可能无法解析 registry-1.docker.io 或存在缓存污染。

✅ 解决（推荐）：强制 Docker 使用可靠 DNS

# 编辑 Docker 配置文件（Ubuntu/Debian/CentOS 通用）
sudo mkdir -p /etc/docker
echo '{
  "dns": ["8.8.8.8", "114.114.114.114"],
  "registry-mirrors": ["https://docker.mirrors.ustc.edu.cn", "https://registry.cn-beijing.aliyuncs.com"]
}' | sudo tee /etc/docker/daemon.json

# 重载配置并重启 Docker
sudo systemctl daemon-reload
sudo systemctl restart docker

# 验证
docker info | grep -i dns

✅ 补充：若企业内网有 DNS ，可替换为可信内网 DNS（如 10.0.0.2），但需确保该 DNS 可递归解析 *.docker.io 域名。

🔹 3. Docker 使用了 HTTP （误配导致 HTTPS 失败）

若 /etc/systemd/system/docker.service.d/http-proxy.conf 存在或 ~/.docker/config.json 配置了 proxies，而不可用或不支持 HTTPS，会导致拉取失败。

✅ 检查并清理：

# 检查 systemd 配置
ls /etc/systemd/system/docker.service.d/
cat /etc/systemd/system/docker.service.d/http-proxy.conf 2>/dev/null

# 检查用户级 Docker 配置
cat ~/.docker/config.json 2>/dev/null | jq '.proxies'

# ✅ 如无需，删除相关文件并重启
sudo rm -f /etc/systemd/system/docker.service.d/http-proxy.conf
sudo systemctl daemon-reload
sudo systemctl restart docker

🌐 若必须走（如企业内网），请确保支持 CONNECT 方法 + HTTPS，并配置正确：

// /etc/docker/daemon.json
{ "proxies": { "default": { "httpProxy": "http://proxy-ip:port", "httpsProxy": "http://proxy-ip:port" } } }

🔹 4. 京东云容器镜像服务（JDCloud Registry）替代方案（推荐国内提速）

避免直连海外 Docker Hub，改用京东云官方镜像提速器（免费、低延迟）：

✅ 配置京东云镜像提速地址（华北/华东等多地域可用）：

# 编辑 daemon.json（覆盖原有 registry-mirrors）
sudo tee /etc/docker/daemon.json <<'EOF'
{
  "registry-mirrors": [
    "https://docker-cn.jcloudcs.com",
    "https://docker.mirrors.ustc.edu.cn",
    "https://mirror.baidubce.com"
  ],
  "dns": ["8.8.8.8", "114.114.114.114"]
}
EOF

sudo systemctl daemon-reload && sudo systemctl restart docker

🔍 验证提速效果：

docker info | grep "Registry Mirrors" -A 5
docker pull hello-world  # 应在 10 秒内完成

✅ 京东云镜像站说明：

• 地址：https://docker-cn.jcloudcs.com（官方维护，同步 Docker Hub 全量镜像）
• 无需认证，开箱即用，适合生产环境。

🔹 5. IPv6 干扰（京东云部分实例默认启用 IPv6）

Docker 可能优先尝试 IPv6 连接，但京东云公网 IPv6 支持不完善，导致超时。

✅ 临时禁用 IPv6（验证用）：

# 临时关闭
sudo sysctl -w net.ipv6.conf.all.disable_ipv6=1
sudo sysctl -w net.ipv6.conf.default.disable_ipv6=1

# 重启 Docker
sudo systemctl restart docker

✅ 永久禁用（如确认 IPv6 非必需）：
编辑 /etc/sysctl.conf，追加：

net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

然后 sudo sysctl -p

✅ 三、终极排障命令（一键诊断）

# 执行以下命令，输出结果可快速定位问题
echo "=== 主机网络 ==="; curl -Is https://hub.docker.com | head -1; echo
echo "=== Docker DNS ==="; docker run --rm alpine nslookup registry-1.docker.io; echo
echo "=== Docker 网络连通性 ==="; docker run --rm alpine wget -qO- --timeout=10 https://registry-1.docker.io/v2/; echo
echo "=== Docker 配置摘要 ==="; docker info | grep -E "(DNS|Registry|IPv6|Cgroup)"; echo

✅ 四、预防建议（生产环境）

如按以上步骤仍失败，请提供以下信息进一步分析：

# 执行后粘贴输出（脱敏敏感信息）
docker version
docker info | grep -E "(Kernel|OS|Arch|Docker Root|Registry)"
journalctl -u docker -n 30 --no-pager | grep -i "error|fail|timeout"
curl -v https://registry-1.docker.io/v2/ 2>&1 | head -20

需要我帮你分析具体日志？欢迎贴出（注意隐藏 token/IP）。🚀

✅ 总结一句话解决方案（新手直接复制）：

sudo tee /etc/docker/daemon.json <<'EOF'
{"registry-mirrors": ["https://docker-cn.jcloudcs.com"], "dns": ["8.8.8.8","114.114.114.114"]}
EOF
sudo systemctl daemon-reload && sudo systemctl restart docker && docker pull hello-world