Harbor代理缓存是规避公网拉包熔断的核心手段，通过首次代理拉取并本地缓存Docker Hub镜像，后续请求直接走内网返回200，不触达外网；需创建代理缓存项目、配置上游源（如https://docker.m.daocloud.io）、启用代理模式，并用新镜像手动触发首次拉取验证缓存生效。

要彻底规避公网访问受限引发的拉包熔断，关键不是绕过限制，而是让镜像请求不依赖实时公网直连——核心手段是启用**代理缓存（Proxy Cache）机制**，把远程镜像“提前拉一次、本地存一份、后续全走内网”。 下面分三类常见场景给出可落地的配置路径，重点讲清**为什么这样配、哪里容易出错、怎么验证生效**：

用 Harbor 配置 Docker Hub 代理缓存

这是企业最常用也最稳妥的方式，Harbor 原生支持代理缓存项目，能自动拉取+缓存+鉴权+扫描。

• 登录 Harbor 控制台 → 【系统管理】→【仓库管理】→【+ 新建代理缓存仓库】
• 源地址填国内可用的镜像源，例如：https://docker.m.daocloud.io（DaoCloud 镜像站）或 https://registry-1.docker.io（需配合 Harbor 2.8+ 及有效 Docker Hub 账户）
• 项目名建议统一为 dockerhub，后续拉取命令就写成 docker pull harbor.example.com/dockerhub/nginx:alpine
• 务必在项目设置中开启 “代理缓存” 并确认上游源可连通（测试按钮会发起 HEAD 请求）
• 首次拉取时 Harbor 会自动从上游拉取并存入本地存储，后续同名镜像直接返回 200，不触达外网

用原生 Registry 搭建轻量代理缓存

适合资源有限、只需基础缓存能力的中小团队，不依赖 UI 和高级功能。

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

• 启动命令中必须显式启用 proxy 模式，并指定 upstream：
• docker run -d -p 5000:5000 --name registry-cache \
• -e REGISTRY_PROXY_REMOTEURL=https://registry-1.docker.io \
• -e REGISTRY_PROXY_USERNAME=your_dockerhub_user \
• -e REGISTRY_PROXY_PASSWORD=your_token_or_password \
• -v /data/registry-cache:/var/lib/registry \
• registry:2
• 注意：Registry 默认不校验上游证书，若用自签名或中间件拦截 HTTPS，需挂载 ca.crt 并配置 REGISTRY_HTTP_TLS_CA
• 客户端无需改 daemon.json，直接 docker pull your-registry:5000/library/ubuntu:22.04 即可触发缓存逻辑

客户端级镜像加速（临时兜底方案）

当无法部署服务端缓存时，可在每台机器上做最小化适配，缓解但不能根治熔断问题。

• 编辑 /etc/docker/daemon.json，加入国内镜像地址（至少两个备用）：
• { "registry-mirrors": ["https://docker.m.daocloud.io", "https://hub-mirror.c.163.com"] }
• 保存后执行 sudo systemctl restart docker
• 该方式仅作用于 docker pull 的初始发现阶段，不缓存镜像层，也不解决 Docker Hub 登录态限频（如 TOOMANYREQUESTS）
• 适合 CI 构建节点临时提速，但不能替代私有代理缓存

不复杂但容易忽略的是：所有代理缓存都依赖**首次成功拉取**。如果第一次就因网络/认证失败，后续请求仍会反复重试上游，造成假性“缓存生效”。所以部署后务必用一条新镜像（如 hello-world:latest）手动触发一次完整拉取，并检查 Harbor 后台或 Registry 日志里是否有 proxy.cache.hit 或 cache miss → fetching 记录。