docker pull仍超时，是因为拉镜像的是Docker守护进程，不一定读取系统代理。闪连为全局模式时通常不用另设；只走系统代理时，给Docker Desktop或dockerd单独配代理并重启，构建镜像时再传入代理变量。
浏览器开着闪连VPN可以打开镜像仓库网页，命令行里执行docker pull却一直卡住，最后报出超时、握手失败或读写超时。有人反复换节点，有人重装Docker，问题依旧。根因通常不是“VPN坏了”，而是拉镜像、解析层、访问仓库的是Docker守护进程，它有自己的环境变量和配置文件，未必继承你在系统设置里为浏览器准备的那套代理。Windows与macOS上的Docker Desktop，以及Linux上的dockerd，都需要单独对齐。下面先分清接管方式，再分别给出桌面版与Linux守护进程的设置、构建时的代理变量、常见报错对照，以及公司内网仓库怎么排除在代理之外。菜单与配置文件名以Docker和闪连当前界面为准。
为什么浏览器行、docker不行
浏览器走的是用户会话里的网络栈，闪连一旦改了系统代理或虚拟网卡，网页请求很容易跟上。Docker拉取镜像时，真正发起连接的是后台守护进程：在桌面版里它跑在虚拟机或特权服务里，在Linux上它常由systemd管理。这些进程启动时读自己的环境，不会自动打开你刚才在图形界面里勾选的“系统代理”。于是出现经典分裂：网页能浏览仓库，命令行pull却超时。
docker build同样如此。构建到某一层需要在容器里下载依赖时，用的是构建环境里的网络，既不等于宿主机浏览器，也不一定等于守护进程拉镜像的那条路径。所以“pull通了但build仍慢”并不矛盾，需要在构建参数里再传代理相关变量。
先做一个最小对照：开着闪连，用浏览器确认仓库网页可开；再在终端执行一次简短的pull。若网页行、pull不行，就按本文给守护进程配代理，而不是继续只换浏览器节点。
- 先确认闪连是全局虚拟网卡接管，还是仅系统代理；全局模式下多数情况不必再给Docker单独设代理。
- 仅系统代理时，在Docker Desktop的设置里打开代理选项，填入与闪连一致的本地代理，并应用后重启Docker。
- Linux上为docker服务准备systemd代理配置，写入环境变量后执行守护进程重载并重启服务。
- 修改完成后重新pull，观察是否仍出现握手超时或读写超时，必要时换一个更稳的闪连节点再试。
- docker build阶段若容器内下载依赖失败，在构建参数中传入代理变量，并区分宿主机与构建内网场景。
- 公司内网的镜像仓库务必加入不走代理的列表，避免内网地址被错误送进闪连导致反而超时。
先看闪连的接管方式再决定要不要改Docker
若闪连当前以全局或虚拟网卡方式接管整机流量，Docker虚拟机或守护进程发出的连接往往已经进入隧道，这时先不要急着改Docker代理，直接重试pull，并换一个延迟低的节点对比。若客户端明确是“仅系统代理”，而Docker Desktop或dockerd并未读取该代理，就必须在Docker侧补上，否则命令行永远直连。拿不准时，以实际结果为准：开着闪连、系统代理已开，但pull仍走向超时，就按下面桌面版或Linux步骤配置；配置后若突然变成“连内网仓库也慢”，再把内网地址写入旁路列表。
改任何代理项之前，先把正在跑的容器业务暂停或确认可中断，因为重启Docker会打断当前容器与compose项目。开发机上养成“改代理→重启→再pull”的固定顺序，比改完立刻连点多次失败命令更清晰。
Windows与Mac：Docker Desktop的代理设置
桌面版把Linux引擎放在虚拟化环境里，图形设置里的代理页就是为这种情况准备的。
在设置里打开代理选项
打开Docker Desktop，进入设置中的资源或网络相关区域，找到代理配置入口（具体路径因界面改版可能不同，以你看到的为准）。启用手动代理后，把主机与端口填成闪连在本机暴露的本地代理地址与端口，HTTP与HTTPS通常填同一套；若界面提供SOCKS项，按闪连实际提供的协议选择，不要混用已经失效的旧端口。若有“绕过代理的地址”或类似列表，先留空，等确认pull恢复后再添加内网仓库。
修改后重启Docker并重新拉取
- 在设置页应用更改，并按提示重启Docker引擎，等待状态重新变为运行中，不要在黄色过渡态下急着pull。
- 重启完成后，在终端执行一次原先失败的pull，观察层下载是否开始出现进度，而不是立刻跳到超时。
- 若仍超时，回到闪连换一个更稳的节点，确认系统代理端口未变，再回到Desktop核对代理开关仍为开启。
公司电脑若由安全软件拦截本地代理端口，Desktop会表现为填了代理依旧直连。可在安全软件中放行Docker相关进程与本地代理端口，具体以安全软件说明为准，避免关闭全部防护。
Linux：给dockerd配置代理
没有Desktop图形界面时，用systemd为docker服务注入环境变量，是最常见、也好回滚的做法。
准备systemd的代理配置文件
为docker服务创建或编辑drop-in配置，在环境变量里写入代理主机与端口，使守护进程启动时带上它们。变量名使用常见的大写代理环境变量形式，值填闪连提供的本地代理，不要把浏览器里的系统开关误当成守护进程已经生效。若仓库有内网地址，同步写入不走代理的旁路变量，避免内网流量绕出去。配置文件只服务docker，不影响你在shell里临时export的变量；两者用途不同，不要混为一谈。
重载配置并重启服务
- 保存drop-in配置后，执行守护进程重载，让systemd读到新文件，再重启docker服务。
- 用服务状态命令确认docker已成功运行，若失败先看日志里是否写错了环境变量格式或端口。
- 服务正常后重新pull，成功则把该drop-in纳入日常文档；失败则核对闪连是否仍连接、端口是否变化。
用snap或其他封装方式安装的Docker，配置路径可能不同，以发行版文档为准。改完若忘记重启服务，旧进程会一直用不含代理的环境，表现为“文件改了但行为不变”。
docker build时容器内下载依赖
pull已经成功，但build走到安装软件包或下载模块时失败，说明构建内网还没走代理。在构建命令中传入与宿主机一致的代理变量，让RUN指令里的下载也走闪连。若Dockerfile里已经写死了清空代理的步骤，需要按项目规范调整，避免秘密把代理清掉。构建完成后，正式运行镜像时未必还需要这些变量，按服务实际访问需求决定是否保留，以免运行时错误地走开发机本地端口。
多阶段构建时，每一阶段的网络环境可能不同，哪一段在拉依赖，就在对应阶段确保代理可用。只在第一阶段设了、后面阶段又还原，会出现“前面行后面超时”的假象。
换节点与保持端口稳定
给Docker配好代理之后，日常最容易再踩的坑是：闪连换了节点或重启后，本地代理端口变了，而Docker Desktop或systemd里仍写着旧端口。表现仍是pull超时，看起来像“配了也没用”。每次重装客户端、重置设置或更换协议之后，先在闪连里确认当前本地监听端口，再打开Docker设置或drop-in文件核对是否一致，不一致就改完并重启引擎。把端口记在本机备忘里，比每次凭记忆填写更不容易错。
另一个习惯是：大镜像拉取过程中不要频繁断开重连闪连。隧道抖动会让已下载的层重来，耗时成倍增加。需要换节点时，先取消当前pull，换好并确认代理端口仍有效，再重新执行。夜间或网络空闲时段拉基础镜像，往往比白天高峰更稳。
多人共用一台开发机时，约定“谁改代理谁负责重启并在群里说一声”，避免甲改了Desktop代理、乙以为自己的shell环境变量还在生效。容器编排项目若在CI里跑，CI环境通常另有一套出网方式，不要把个人笔记本上的闪连代理配置原样贴进流水线，除非流水线明确支持同等网络条件。
若只有某一个仓库超时、其他仓库正常，优先怀疑该仓库本身限流、镜像名写错或需要登录，而不是一上来推翻全部代理配置。用一个体积很小的公开测试镜像做对照，能快速判断是“全局网络问题”还是“单一仓库问题”。
常见报错对照与内网仓库旁路
握手超时、TLS握手超时，多与出口不稳定或代理未生效有关：先确认Desktop或dockerd已重启并带上代理，再换闪连节点。读写超时、i/o超时，常见于节点拥堵或大层下载中断：固定节点重试，避免pull中途切换。未授权、认证失败，则偏向账号与仓库权限，不是代理本身，需要检查登录态与访问令牌。把“网络超时”和“权限错误”分开，能少改很多无关配置。
公司内网镜像仓库、私有仓库域名或IP，应放进不走代理的列表。否则请求被送进闪连，再绕回内网，轻则变慢，重则超时。旁路列表改完同样需要重启Docker才能稳定生效。家庭实验室若只有公网仓库，旁路列表可以保持精简，减少误配；一旦开始混用内网Harbor或自建仓库，就应立刻把对应地址加进旁路，并在每次改完后重启引擎验证。
临时关掉闪连做对照时，先记住Docker里是否还开着代理：若代理仍指向已关闭的本地端口，直连对照也会失败，容易误判。对照实验的正确姿势是：要么全局模式下直接断闪连再pull，要么仅系统代理模式下同步关闭Docker代理并重启引擎后再测直连。变量一次只改一类，结论才干净。
笔记本在酒店或机场网络下开发时，门户认证未完成也会让守护进程拉取失败。先用浏览器完成认证并确认普通网页可开，再连接闪连、检查Docker代理，最后执行pull，顺序不要颠倒。
把习惯固定下来：先看闪连是全局还是仅系统代理；仅系统代理就给Desktop或dockerd单独配置并重启；build另传变量；对照超时类与认证类报错；内网仓库做旁路。使用闪连VPN请遵守当地法律法规，Docker与系统服务的具体菜单、单元文件路径以实际环境为准。
