Docker 镜像拉取如何在离线内网环境中导入外部镜像

核心思路是“外网拉、本地存、内网载”，即在外网机器拉取并指定目标架构（如--platform linux/amd64）后用docker save导出为tar，再通过U盘或SCP传入内网，执行docker load -i导入；若中间机无Docker环境，可用skopeo copy直连registry下载归档，更轻量高效。

在离线内网环境中导入外部 Docker 镜像，核心思路是“外网拉、本地存、内网载”——不依赖目标服务器联网，而是借助一台能上网的中间机完成镜像获取与封装，再安全传入内网。关键不是能不能做，而是怎么做更稳、更快、更少出错。

选对工具：docker save 是基础，skopeo 更轻量高效

如果已有 Docker 环境（比如开发机），docker save + docker load 最直接：

1. 在外网机器上执行 docker pull --platform linux/amd64 nginx:1.25（务必指定目标服务器架构，避免 M1/M2 Mac 拉错 arm64 镜像）
2. 导出为 tar：docker save -o nginx.tar nginx:1.25
3. 用 U 盘或 SCP 传入内网服务器，再运行 docker load -i nginx.tar

但若中间机资源紧张、不想装 Docker 引擎，推荐用 skopeo（Red Hat 出品）：

1. 它无需 Docker daemon，单命令直连 registry 下载镜像归档：skopeo copy docker://nginx:1.25 docker-archive:nginx-offline.tar
2. 支持校验、跳过认证、指定架构，体积小、启动快，特别适合 CI 跳板机或最小化 Linux 环境

注意架构一致性：x86_64 和 aarch64 别混用

镜像不是“一拉就通”，CPU 架构必须匹配。常见错误是 Mac M 系列拉了 linux/arm64，却想跑在 x86_64 服务器上，结果 exec format error 直接失败。

1. 查内网服务器架构：uname -m → 得到 x86_64 或 aarch64
2. 外网拉取时强制指定：docker pull --platform linux/amd64 redis:7.2（x86_64）或 --platform linux/arm64（ARM）
3. Skopeo 同样支持平台过滤：skopeo copy --override-arch amd64 docker://redis:7.2 docker-archive:redis.tar

批量迁移与校验：别只图快，得保完整

单个镜像手动操作还行，多个服务（比如含 nginx + redis + app）就得系统化处理：

1. 用脚本统一导出：docker save -o all.tar $(docker images --format '{{.Repository}}:{{.Tag}}' | grep -E '^(nginx|redis|myapp)')
2. 传输前加压缩：docker save nginx:alpine | gzip > nginx.tgz，内网解压后 zcat nginx.tgz | docker load
3. 校验完整性：导出后算 SHA256，传入后比对；加载后运行 docker inspect 镜像ID 确认 Config、Architecture 字段正确

进阶场景：没 Docker 的内网机，也能装镜像

有些内网服务器连 Docker 都没装（比如纯 CentOS 7 最小化部署），需先离线安装 Docker 引擎：

1. 下载对应架构的最新静态二进制包（如 docker-20.10.24.tgz），解压后复制 dockerd 和 docker 到 /usr/bin/
2. 配置 systemd 服务，指定 --data-root=/data/docker 避免占用系统盘
3. 启动 Docker 后，再执行 docker load —— 整个过程不依赖 apt/yum 或网络源