核心思路是“外网拉、本地存、内网载”，即在外网机器拉取并指定目标架构（如--platform linux/amd64）后用docker save导出为tar，再通过U盘或SCP传入内网，执行docker load -i导入；若中间机无Docker环境，可用skopeo copy直连registry下载归档，更轻量高效。
在离线内网环境中导入外部 Docker 镜像，核心思路是“外网拉、本地存、内网载”——不依赖目标服务器联网，而是借助一台能上网的中间机完成镜像获取与封装，再安全传入内网。关键不是能不能做，而是怎么做更稳、更快、更少出错。
选对工具：docker save 是基础，skopeo 更轻量高效
如果已有 Docker 环境（比如开发机），docker save + docker load 最直接：
- 在外网机器上执行
docker pull --platform linux/amd64 nginx:1.25（务必指定目标服务器架构，避免 M1/M2 Mac 拉错 arm64 镜像） - 导出为 tar：
docker save -o nginx.tar nginx:1.25 - 用 U 盘或 SCP 传入内网服务器，再运行
docker load -i nginx.tar
但若中间机资源紧张、不想装 Docker 引擎，推荐用 skopeo（Red Hat 出品）：
- 它无需 Docker daemon，单命令直连 registry 下载镜像归档：
skopeo copy docker://nginx:1.25 docker-archive:nginx-offline.tar - 支持校验、跳过认证、指定架构，体积小、启动快，特别适合 CI 跳板机或最小化 Linux 环境
注意架构一致性：x86_64 和 aarch64 别混用
镜像不是“一拉就通”，CPU 架构必须匹配。常见错误是 Mac M 系列拉了 linux/arm64，却想跑在 x86_64 服务器上，结果 exec format error 直接失败。
- 查内网服务器架构：
uname -m→ 得到x86_64或aarch64 - 外网拉取时强制指定：
docker pull --platform linux/amd64 redis:7.2（x86_64）或--platform linux/arm64（ARM） - Skopeo 同样支持平台过滤：
skopeo copy --override-arch amd64 docker://redis:7.2 docker-archive:redis.tar
批量迁移与校验：别只图快，得保完整
单个镜像手动操作还行，多个服务（比如含 nginx + redis + app）就得系统化处理：
- 用脚本统一导出：
docker save -o all.tar $(docker images --format '{{.Repository}}:{{.Tag}}' | grep -E '^(nginx|redis|myapp)') - 传输前加压缩：
docker save nginx:alpine | gzip > nginx.tgz，内网解压后zcat nginx.tgz | docker load - 校验完整性：导出后算 SHA256，传入后比对；加载后运行
docker inspect 镜像ID确认 Config、Architecture 字段正确
进阶场景：没 Docker 的内网机，也能装镜像
有些内网服务器连 Docker 都没装（比如纯 CentOS 7 最小化部署），需先离线安装 Docker 引擎：
- 下载对应架构的官方静态二进制包（如
docker-20.10.24.tgz），解压后复制dockerd和docker到/usr/bin/ - 配置 systemd 服务，指定
--data-root=/data/docker避免占用系统盘 - 启动 Docker 后，再执行
docker load—— 整个过程不依赖 apt/yum 或网络源
