离线环境部署Docker及私有镜像仓库全流程指南

一、离线环境部署的必要性分析

在金融、政务、工业控制等对数据安全要求极高的领域，系统部署必须与公网完全隔离。这种离线环境虽然保障了数据安全，却给容器化技术部署带来了显著挑战：无法直接通过互联网下载Docker引擎、镜像仓库组件及相关依赖包。

典型应用场景包括：银行核心交易系统、军工保密单位开发环境、智能工厂生产控制系统等。这些场景下，系统部署必须满足等保2.0三级以上安全要求，禁止任何形式的互联网连接。

二、离线环境部署技术准备

1. 基础环境要求

操作系统：推荐CentOS 7/8或Ubuntu 18.04/20.04 LTS
硬件配置：最低4核CPU、8GB内存、100GB可用磁盘空间
网络配置：需确保内网DNS解析正常，时间同步服务（NTP）可用

2. 依赖包收集策略

通过构建本地YUM/APT仓库实现依赖管理，具体步骤：

# CentOS系统示例
mkdir -p /localrepo/centos7
reposync -p /localrepo/centos7 -r base -r updates -r extras
createrepo /localrepo/centos7

需收集的Docker核心依赖包包括：

docker-ce
docker-ce-cli
containerd.io
docker-compose
基础依赖：libseccomp、device-mapper-persistent-data等

三、Docker离线安装实施

1. 安装包传输

使用物理介质（U盘/移动硬盘）或内网文件服务器传输安装包。建议采用tar包形式打包所有依赖：

# 创建依赖包归档
tar czvf docker-offline-packages.tar.gz \
  docker-ce*.rpm \
  containerd*.rpm \
  libseccomp*.rpm

2. 离线安装流程

# 安装依赖包（CentOS示例）
yum localinstall -y /path/to/packages/*.rpm
# 配置Docker存储驱动（推荐overlay2）
cat > /etc/docker/daemon.json <<EOF
{
  "storage-driver": "overlay2",
  "exec-opts": ["native.cgroupdriver=systemd"]
}
EOF
# 启动服务
systemctl enable --now docker

3. 验证安装

docker version
# 应显示Client和Server版本信息
docker run --rm hello-world
# 应成功拉取并运行测试镜像

四、私有镜像仓库搭建

1. 仓库类型选择

仓库类型	适用场景	存储后端	认证方式
Registry	轻量级部署	本地文件系统	HTTP Basic
Harbor	企业级方案	对象存储/S3	RBAC+OAuth
Nexus	多格式支持	文件系统/S3	LDAP集成

2. 离线部署Registry

# 下载Registry镜像（在有网环境）
docker pull registry:2.8.1
docker save registry:2.8.1 > registry.tar
# 离线环境加载
docker load < registry.tar
# 启动私有仓库
docker run -d \
  --name registry \
  -p 5000:5000 \
  --restart=always \
  -v /data/registry:/var/lib/registry \
  registry:2.8.1

3. Harbor企业级部署

在有网环境下载离线安装包：

wget https://github.com/goharbor/harbor/releases/download/v2.6.2/harbor-offline-installer-v2.6.2.tgz

修改harbor.yml配置：

hostname: registry.internal
http:
port: 8080
data_volume: /data/harbor
storage_driver:
name: filesystem
options:
 rootdirectory: /data/harbor/storage

离线环境安装：

tar xzf harbor-offline-installer-v2.6.2.tgz
cd harbor
./install.sh --offline

五、离线镜像管理最佳实践

1. 镜像同步策略

# 使用skopeo进行镜像同步（需提前安装）
skopeo copy \
  docker://docker.io/library/nginx:latest \
  dir:/offline-images/nginx

2. 构建自动化方案

# 示例Dockerfile（离线构建）
FROM registry.internal/library/centos:7
RUN yum install -y httpd \
    && yum clean all
COPY ./app /var/www/html
EXPOSE 80
CMD ["/usr/sbin/httpd", "-D", "FOREGROUND"]

3. 安全加固措施

启用TLS认证：

openssl req -newkey rsa:4096 -nodes -sha256 \
-keyout /etc/docker/registry.key \
-out /etc/docker/registry.csr
openssl x509 -req -days 365 \
-in /etc/docker/registry.csr \
-signkey /etc/docker/registry.key \
-out /etc/docker/registry.crt

配置镜像签名验证：

# 生成GPG密钥对
gpg --full-generate-key
# 导出公钥
gpg --export > /etc/docker/trusted-keys.gpg

六、故障排查与维护

1. 常见问题处理

镜像拉取失败：检查/etc/docker/daemon.json的insecure-registries配置
存储空间不足：配置storage-driver的size选项或清理无用镜像
服务启动失败：检查journalctl -u docker日志

2. 定期维护任务

# 每周清理未使用的镜像
docker system prune -af --volumes
# 每月检查存储空间
df -h /var/lib/docker
# 季度性更新基础镜像
docker pull registry.internal/library/centos:7

七、进阶优化方案

1. 镜像加速技术

P2P镜像分发：使用Dragonfly或Kraken实现
增量更新：采用OCI Image Layout规范实现

2. 监控体系构建

# Prometheus监控配置示例
scrape_configs:
  - job_name: 'docker'
    static_configs:
      - targets: ['localhost:9323']

3. 灾备方案设计

冷备方案：定期备份/var/lib/docker目录
热备方案：使用DRBD实现存储双活

通过以上系统化的部署方案，可在完全离线的环境中实现Docker容器平台的稳定运行。实际实施时，建议先在测试环境验证所有流程，再逐步推广到生产环境。对于超大规模部署（100+节点），建议采用Puppet/Ansible等自动化工具进行批量管理。

离线环境Docker与私有镜像仓库部署全攻略