根本原因是dockerd高并发拉取时HTTPS连接数超系统文件描述符限制，需调高ulimit、优化daemon.json连接复用配置、启用镜像加速器并采用串行拉取策略。
大规模拉取镜像时出现TCP连接耗尽，本质是Docker守护进程（dockerd）在高并发请求下，短时间内建立大量到镜像仓库的HTTPS连接（默认443端口），超出系统可用文件描述符（file descriptor）或内核网络连接限制，导致新连接被拒绝、报错如 dial tcp ...:443: connect: cannot assign requested address 或 too many open files。
检查并调高系统文件描述符限制
每个TCP连接占用一个文件描述符。Linux默认单进程限制通常为1024，远低于高并发拉取需求。
- 查看当前限制：
ulimit -n（用户级）和cat /proc/$(pgrep dockerd)/limits | grep "Max open files"（进程级） - 临时提升（重启后失效）：
sudo ulimit -n 65536 - 永久生效：编辑
/etc/security/limits.conf，添加两行：root soft nofile 65536root hard nofile 65536
（若Docker由非root用户运行，替换为对应用户名） - 确保systemd服务继承该限制：在
/etc/systemd/system/docker.service.d/override.conf中添加：[Service]LimitNOFILE=65536
优化Docker守护进程的HTTP客户端行为
Docker 20.10+ 默认使用Go的HTTP/1.1客户端，其连接复用（keep-alive）机制可缓解连接爆炸，但需确认配置未被禁用或覆盖。
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 检查
/etc/docker/daemon.json是否存在显式禁用连接复用的字段（如自定义httpHeaders或错误的代理配置） - 确保未设置
"max-concurrent-downloads"过高（如 >10），该值控制并发下载任务数，间接影响连接峰值；建议设为3–5并配合镜像分批拉取 - 升级Docker至24.x或更新版本，新版对连接池管理与超时回收更健壮
启用并合理配置镜像加速器
国内主流镜像加速器（如阿里云、USTC、网易）不仅提升速度，更重要的是它们作为反向代理，将大量客户端连接收敛为少量上游连接，极大降低对Docker Hub的直连压力和本机连接消耗。
- 编辑
/etc/docker/daemon.json，配置至少2个可靠镜像源：{ "registry-mirrors": ["https://registry.cn-hangzhou.aliyuncs.com", "https://docker.mirrors.ustc.edu.cn"] } - 避免混用HTTP和HTTPS镜像源（除非明确配置了
insecure-registries），防止协议协商失败引发重试连接 - 重启生效：
sudo systemctl restart docker
批量拉取时采用串行+缓存策略
绕过“一次性全量并发”的设计陷阱，用可控节奏替代暴力拉取。
- 不推荐：
docker pull nginx:alpine && docker pull redis:7 && docker pull python:3.11（shell会并发启动多个pull进程） - 推荐做法：用脚本循环 + 延迟 + 标签校验
for img in nginx:alpine redis:7 python:3.11; do docker pull "$img"; sleep 1; done - 提前构建本地缓存：在CI/CD节点或开发机上，定期运行
docker image prune -f清理后，再按需预拉取常用基础镜像，减少高峰期集中请求
