logo

开发者热搜

如何在Linux搭建私有Docker Registry并实现内网远程访问

作者：php是最好的2025.10.10 18:41浏览量：0

简介：本文详细介绍如何在Linux系统部署Docker Registry本地镜像仓库，结合内网穿透技术实现无公网IP的远程访问，包含安全配置、存储优化及故障排查等实用方案。

如何在Linux部署Docker Registry本地镜像仓库并实现无公网IP远程连接

一、环境准备与系统要求

在部署Docker Registry前，需确保Linux服务器满足以下条件：

  1. 系统版本：推荐CentOS 7+/Ubuntu 20.04+等主流发行版
  2. Docker版本：Docker CE 19.03+（通过docker --version验证）
  3. 存储空间：至少20GB可用磁盘空间（建议单独挂载数据盘）
  4. 网络配置：确保内网防火墙开放5000端口（TCP）

安装Docker CE示例（以Ubuntu为例）：

  1. # 卸载旧版本
  2. sudo apt-get remove docker docker-engine docker.io containerd runc
  4. # 安装依赖
  5. sudo apt-get update
  6. sudo apt-get install apt-transport-https ca-certificates curl gnupg-agent software-properties-common
  8. # 添加Docker官方GPG密钥
  9. curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
  11. # 添加软件源
  12. sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
  14. # 安装并启动服务
  15. sudo apt-get update
  16. sudo apt-get install docker-ce docker-ce-cli containerd.io
  17. sudo systemctl enable --now docker

二、Docker Registry基础部署

1. 基础镜像仓库部署

使用官方registry镜像快速启动：

  1. docker run -d \
  2.   -p 5000:5000 \
  3.   --restart=always \
  4.   --name registry \
  5.   registry:2

关键参数说明：

  • -p 5000:5000：将容器5000端口映射到宿主机
  • --restart=always：设置容器异常退出时自动重启
  • registry:2：指定使用v2版本的registry镜像

2. 存储卷配置

为保证数据持久化，建议使用主机目录挂载：

  1. mkdir -p /data/registry
  2. docker run -d \
  3.   -p 5000:5000 \
  4.   -v /data/registry:/var/lib/registry \
  5.   --restart=always \
  6.   --name registry \
  7.   registry:2

存储优化建议：

  • 使用独立磁盘分区存储镜像数据
  • 定期执行docker exec registry du -sh /var/lib/registry监控存储使用
  • 配置自动清理策略（需结合registry的垃圾回收机制）

三、无公网IP的远程连接方案

方案一：SSH隧道穿透

  1. 本地端口转发（客户端操作）：
    1. ssh -L 本地端口:127.0.0.1:5000 用户名@服务器IP -N
    示例（将本地5001端口映射到远程registry）：
    1. ssh -L 5001:127.0.0.1:5000 admin@192.168.1.100 -N
  2. Docker客户端配置：
    修改/etc/docker/daemon.json：
    1. {
    2. "insecure-registries": ["本地IP:本地端口"]
    3. }
    重启Docker服务后，即可通过本地IP:本地端口推送/拉取镜像。

方案二：Frp内网穿透（推荐）

  1. 服务端部署：
    ```bash

    下载frps

    wget https://github.com/fatedier/frp/releases/download/v0.51.3/frp_0.51.3_linux_amd64.tar.gz
    tar -zxvf frp*.tar.gz
    cd frp    *

配置frps.ini

cat > frps.ini <<EOF
[common]
bind_port = 7000
token = 你的安全令牌
EOF

启动服务

nohup ./frps -c frps.ini &

  2. 2. **客户端配置**：
  3. ```ini
  4. # frpc.ini
  5. [common]
  6. server_addr = 公网服务器IP
  7. server_port = 7000
  8. token = 你的安全令牌
  10. [docker-registry]
  11. type = tcp
  12. local_ip = 127.0.0.1
  13. local_port = 5000
  14. remote_port = 6000
  1. Docker客户端配置：
    修改daemon.json添加：
    1. {
    2. "insecure-registries": ["公网服务器IP:6000"]
    3. }

四、安全增强配置

1. HTTPS加密

生成自签名证书：

  1. mkdir -p /certs
  2. openssl req -newkey rsa:4096 -nodes -sha256 -keyout /certs/domain.key \
  3.   -x509 -days 365 -out /certs/domain.crt \
  4.   -subj "/CN=registry.example.com"

启动加密registry：

  1. docker run -d \
  2.   -p 5000:5000 \
  3.   --restart=always \
  4.   --name registry \
  5.   -v /certs:/certs \
  6.   -e REGISTRY_HTTP_ADDR=0.0.0.0:5000 \
  7.   -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  8.   -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  9.   registry:2

2. 基本认证配置

创建密码文件：

  1. mkdir -p /auth
  2. docker run --entrypoint htpasswd \
  3.   httpd:2 -Bbn 用户名 密码 > /auth/htpasswd

启动带认证的registry：

  1. docker run -d \
  2.   -p 5000:5000 \
  3.   --restart=always \
  4.   --name registry \
  5.   -v /auth:/auth \
  6.   -e REGISTRY_AUTH=htpasswd \
  7.   -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  8.   -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  9.   registry:2

五、高级功能实现

1. 镜像清理机制

  1. 标记要删除的镜像：

    1. docker pull ubuntu:20.04
    2. docker tag ubuntu:20.04 localhost:5000/ubuntu:20.04
    3. docker push localhost:5000/ubuntu:20.04
    4. docker rmi localhost:5000/ubuntu:20.04

  2. 执行垃圾回收：
    ```bash

    进入registry容器

    docker exec -it registry sh

执行垃圾回收（需安装registry的garbage-collect工具）

registry garbage-collect /etc/docker/registry/config.yml

  2. ### 2. 镜像复制功能
  3. 使用`reg`客户端工具实现镜像同步：
  4. ```bash
  5. # 安装reg客户端
  6. wget https://github.com/genuinetools/reg/releases/download/v0.16.1/reg-linux-amd64
  7. chmod +x reg-linux-amd64
  8. sudo mv reg-linux-amd64 /usr/local/bin/reg
  10. # 从源仓库复制到本地registry
  11. reg sync -r 源仓库地址 --target localhost:5000

六、故障排查指南

  1. 连接失败排查：

    • 检查防火墙规则：sudo iptables -L -n
    • 验证端口监听：netstat -tulnp | grep 5000
    • 检查Docker日志：docker logs registry

  2. 认证问题解决：

    • 验证密码文件权限：ls -l /auth/htpasswd
    • 测试认证配置：
      1. curl -u 用户名:密码 http://localhost:5000/v2/_catalog

  3. 存储异常处理：

    • 检查磁盘空间：df -h /data/registry
    • 修复损坏的镜像层：
      1. docker exec registry registry garbage-collect --delete-untagged /etc/docker/registry/config.yml

七、性能优化建议

  1. 缓存配置：

    1. docker run -d \
    2. -p 5000:5000 \
    3. --restart=always \
    4. --name registry \
    5. -e REGISTRY_STORAGE_CACHE_BLOBDESCRIPTOR=inmemory \
    6. registry:2

  2. 并发控制：

    1. # 在daemon.json中添加
    2. {
    3. "max-concurrent-uploads": 10,
    4. "max-download-attempts": 5
    5. }

  3. 存储驱动选择：

  • 小规模部署：使用默认filesystem驱动
  • 大规模部署：考虑s3或azure等对象存储驱动

八、最佳实践总结

  1. 定期备份：

    1. # 备份registry数据
    2. tar -czvf registry-backup-$(date +%Y%m%d).tar.gz /data/registry

  2. 监控告警：

    • 使用Prometheus监控registry指标
    • 配置Alertmanager对存储空间不足告警

  3. 升级策略：

    • 关注registry镜像的版本更新
    • 测试环境验证后再升级生产环境

通过以上方案，开发者可以在无公网IP的环境下构建安全的私有镜像仓库，并通过SSH隧道或Frp等工具实现远程访问。实际部署时建议先在测试环境验证所有功能，再逐步推广到生产环境。

相关文章推荐

发表评论

最热文章

关于作者

  • 被阅读数
  • 被赞数
  • 被收藏数
活动
咨询