多节点集群中实现Docker镜像分发缓存的核心是部署代理缓存仓库（如Harbor），配置registry-mirrors使节点就近拉取；支持主动同步、HTTPS认证与预热填充，兼顾性能、安全与可用性。
在多节点集群中实现 docker 镜像分发缓存，核心目标是减少重复拉取、降低公网依赖、提升部署速度，并避免单点仓库成为瓶颈。不靠人工拷贝，而是构建一层智能缓存层，让镜像“就近获取”。
用代理缓存仓库（推荐首选）
部署一个支持 Pull-through 缓存的私有 Registry，比如 Harbor 或 Nexus Repository，作为所有节点的统一镜像入口。
- 集群节点配置 Docker daemon 使用该代理仓库为默认 registry-mirror（修改 /etc/docker/daemon.json）：
{ "registry-mirrors": ["https://harbor.example.com"] }
重启 Docker：sudo systemctl restart docker - 首次拉取 nginx:alpine 时，代理仓库自动从 Docker Hub 下载并缓存；后续所有节点拉同一镜像，直接从本地代理返回，毫秒级响应
- 缓存内容自动保留，支持 TTL 策略与空间清理，企业级场景可对接 LDAP、审计日志和镜像扫描
启用 Harbor 复制规则做主动同步
适用于跨地域或多可用区集群，比如北京、上海、深圳各有一个 Kubernetes 集群，需要镜像“多地同源”。
- 在主 Harbor 上配置“复制规则”，目标为各地 Harbor 实例，触发方式选“事件驱动”（镜像 push 后自动同步）或“定时同步”
- 各集群只与本地 Harbor 通信，网络延迟低、带宽占用少；即使某地 Harbor 故障，其他节点仍可从本地缓存拉取
- 支持 HTTPS 双向认证、镜像签名验证（Notary）、复制任务失败重试，保障传输安全与一致性
节点级轻量缓存（无中心仓库时备用）
若暂时无法部署 Harbor，又希望缓解频繁拉取压力，可在部分高负载节点上启用 registry 代理模式。
- 启动一个轻量 registry 容器，配置 proxy 参数指向 Docker Hub：
docker run -d -p 5000:5000 --restart=always \<br> -e REGISTRY_PROXY_REMOTEURL=https://registry-1.docker.io \<br> -e REGISTRY_PROXY_USERNAME=xxx \<br> -e REGISTRY_PROXY_PASSWORD=yyy \<br> --name local-proxy registry:2
- 其他节点配置 daemon.json 指向该本地 proxy（如 http://192.168.1.10:5000），首次拉取后即缓存，适合测试环境或边缘小集群
- 注意：此方式不支持镜像推送，仅限拉取缓存；需手动维护凭证，且无 UI 和权限管理
配合 CI/CD 自动打标与预热
缓存再好，也要“有人先来过”。在流水线中加入预热逻辑，让热门镜像提前落库。
- CI 构建完成并成功 push 到主仓库后，自动触发脚本调用 Harbor API 或 skopeo copy，将新镜像同步至各区域仓库
- 每日凌晨执行“镜像热度分析”，对过去 24 小时拉取 Top 10 的镜像，调用 docker pull + docker push 触发缓存填充
- 灰度发布前，向目标区域节点批量 pull 新版本镜像，避免上线瞬间并发拉取打爆网络
