Docker Desktop 怎么配置代理：代理入口、继承规则与连通性核对

在公司网络里，Docker Desktop 最容易让人误判的报错是镜像拉取超时：浏览器能打开网页，终端里的环境变量也写了代理，但 docker pull 仍然卡住。先记住一个关键点：Docker Desktop 的“桌面代理”和“容器代理”是两条配置路径，光改其中一条不一定能解决镜像拉取。

先判断：到底是哪一条流量失败

如果 Docker Desktop 登录、扩展加载或 CLI 访问异常，优先看 Docker Desktop proxy；如果界面正常，只有 docker pull nginx、Compose 拉取或构建阶段访问外部仓库失败，重点检查 Containers proxy。两者都失败时，再检查主机代理地址、端口和绕过列表。

这个区分很容易被忽略。Docker 官方文档把主机侧流量和容器侧流量分开定义，Containers proxy 未单独配置时，镜像拉取动作才有可能回退到桌面级代理规则。

在 Resources > Proxies 设置最小可用配置

1. 打开代理设置页

打开 Docker Desktop，点击右上角设置齿轮图标，进入 Resources 分类，再选择 Proxies 项。不同操作系统的窗口外观会略有区别，但设置层级和两类代理区域是完全一致的。

2. 先设置 Docker Desktop proxy

在 Docker Desktop proxy 区域选择匹配当前场景的模式：

• System proxy：跟随操作系统自带的代理或 PAC 配置规则。
• No proxy：直接连接网络，适合本身就处于无需代理的内网环境。
• Manual configuration：手动填写自定义的 HTTP 和 HTTPS 代理地址。

手动地址应包含协议和端口，例如 http://proxy.example:7890。不要把带密码的代理 URL 贴进文章、工单或截图；需要认证时，让 Docker Desktop 使用系统凭据存储或按组织规则输入。

3. 再设置 Containers proxy

如果问题出现在拉取镜像环节，进入同一页的 Containers proxy 区域调整。最省事的选择是 Same as host proxy；如果镜像仓库和桌面流量必须走不同出口，就选 Manual configuration 单独填写规则。

不少在企业网络里使用的用户都会遗漏这一步：只改了 Docker Desktop proxy，Containers proxy 仍停留在 No proxy 状态。设置页看起来已经保存成功，但后续跑拉取命令仍然超时，通常就是这个原因导致的。

保存后用两个结果检查配置是否真的生效

点击设置页的保存或应用按钮后，先找一个小体积测试镜像执行拉取操作：

docker pull hello-world
docker image inspect hello-world --format '{{.Id}}'

第一条命令验证到镜像仓库的整条链路是否正常，第二条命令确认镜像已经成功写入本地。若仍然超时，先记录错误发生在解析、连接还是下载阶段，不要立刻反复切换代理模式。

再核对容器内的出站请求

docker pull 成功，不代表运行中的容器一定能访问外部服务。可以启动一个临时容器检查 DNS 和 HTTP 返回：

docker run --rm curlimages/curl:8.10.1 \
  -I https://registry-1.docker.io/v2/

这里关注的是返回状态和错误类型，不要把认证失败误判成代理失败。若企业代理要求登录，常见现象是 407 Proxy Authentication Required；若是域名解析问题，日志里通常会出现无法解析主机名的提示。

三个容易误配的地方

不要把 daemon.json 当成 Docker Desktop 的唯一入口

在 Docker Desktop 场景里，直接改 Docker Engine 的配置文件并不能替代设置页里的代理选项。尤其是桌面应用和镜像拉取由两套独立的流量路径负责，改完文件却不重启对应服务或者没有覆盖目标路径，很容易得到“配置写了但没生效”的假象。

代理绕过列表要小而明确

只把确实应该直连的内网域名、主机名或网段放入 bypass 绕过列表。列表范围过宽会让镜像仓库绕过代理，列表范围过窄则会让内网服务被误送到外部代理；排查时可以先恢复最小必要列表，再逐项加回规则。

常见问题

为什么浏览器能上网，Docker Desktop 仍然拉不到镜像？

浏览器可能使用了系统代理或自己的独立代理配置，这些规则 Docker Desktop 不会自动继承。回到 Resources > Proxies，分别确认桌面代理和 Containers proxy 的设置都符合预期。

Containers proxy 选 Same as host proxy 还是 Manual configuration？

两类流量共用出口时选 Same as host proxy；镜像仓库需要独立出口或独立绕过规则时选 Manual configuration。不要只凭“浏览器能打开网页”判断代理配置已经正常。

怎样判断是代理认证问题还是网络问题？

对照错误状态排查：出现 407 通常先查代理认证配置，出现 DNS 解析失败先核对域名和本地DNS设置，连接超时则检查代理地址、端口和绕过列表是否正确。

把设置结果留在可复核状态

一份可复核的配置至少应包括：代理模式、HTTP/HTTPS 地址是否带协议、bypass 列表、docker pull hello-world 结果，以及容器内请求的返回状态。以后换网络或升级 Docker Desktop，按这五项重新核对，比直接复制旧配置更稳。