实现镜像仓库高可用需构建多站点分发能力，核心方案包括：1. Harbor复制策略实现跨区域异步同步；2. Registry代理模式提供被动缓存；3. Skopeo批量同步配合DNS轮询调度；4. 客户端侧通过信任配置与fallback机制兜底。
要在 Docker 中实现镜像仓库的高可用镜像源，核心是构建多站点镜像分发能力，而不是只靠单个 registry。关键不在于“改 Docker 客户端配置”，而在于让镜像拉取行为天然走向就近、稳定、可切换的源。
用 Harbor 复制策略做主动同步
Harbor 是企业级首选，原生支持基于事件的异步复制，适合容灾和跨区域分发。
- 在主 registry（如 registry.shanghai.example.com）上创建项目，启用复制功能
- 添加目标 registry（如 registry.beijing.example.com），配置 HTTPS 双向认证
- 定义复制规则：按镜像名（app/frontend）、命名空间或标签过滤，触发方式选 event_based（推送即同步）
- 开启自动失败重试与同步日志审计，确保异常时可追溯
用 Registry 代理模式做被动缓存
适合轻量级场景或作为边缘节点，无需手动推镜像，首次拉取即缓存，后续请求直接本地响应。
- 部署一个带 proxy 配置的 Docker Registry 实例
- 在 config.yml 中指定 upstream：
proxy: {remoteurl: https://registry.prod.example.com} - 客户端仍使用原 registry 地址拉取，但实际流量经由代理节点中转并落盘缓存
- 多个代理节点可前置 Nginx 或 DNS 轮询，天然实现负载均衡
用 Skopeo 批量同步 + DNS 轮询调度
适用于无 Harbor 环境、或需离线/定时同步的混合云、信创等受限网络场景。
- 编写脚本调用 skopeo copy，例如：
skopeo copy docker://registry-a/app:1.2 docker://registry-b/app:1.2 - 将多个镜像仓库注册为同一域名的多个 A 记录（如 registry.example.com → 192.168.30.191, 192.168.30.192）
- Docker daemon 默认启用 DNS 轮询，拉取时自动分散到不同后端
- 配合健康检查脚本定期探测各 registry 可用性，动态更新 DNS 权重或剔除故障节点
客户端侧配合：信任与 fallback 设置
Docker daemon 本身不支持主备 registry 自动切换，需通过外部机制兜底。
- 所有 registry 域名必须加入 insecure-registries（若用 HTTP）或提前部署 TLS 证书到宿主机
- CI/CD 流水线中，用 shell 判断
docker pull是否失败，失败后尝试备用地址 - 在 Kubernetes 集群中，可通过 ImagePullSecrets + initContainer 预热镜像，降低运行时拉取失败风险
