Docker 走代理的 3 种姿势：daemon / Compose / host 网络

2.1 创建 systemd drop-in#

1
sudo mkdir -p /etc/systemd/system/docker.service.d
2
sudo vim /etc/systemd/system/docker.service.d/proxy.conf

内容：

1
[Service]
2
Environment="HTTP_PROXY=http://127.0.0.1:7890"
3
Environment="HTTPS_PROXY=http://127.0.0.1:7890"
4
Environment="NO_PROXY=localhost,127.0.0.1,::1,*.aliyun.com,*.tencentyun.com"

💡 NO_PROXY 把国内常用的镜像域名加进去，避免走代理反而慢。

2.2 重启 Docker#

1
sudo systemctl daemon-reload
2
sudo systemctl restart docker
3

4
# 验证
5
sudo systemctl show docker | grep -i proxy

2.3 取消代理#

删掉 proxy.conf 再重启：

1
sudo rm /etc/systemd/system/docker.service.d/proxy.conf
2
sudo systemctl daemon-reload
3
sudo systemctl restart docker

🪤 这个配置只影响 docker pull / docker push，不影响容器内部进程。容器要走代理需要单独配置（场景二）。

3.1 简单粗暴：-e 传环境变量#

1
docker run -d \
2
  -e HTTP_PROXY=http://172.17.0.1:7890 \
3
  -e HTTPS_PROXY=http://172.17.0.1:7890 \
4
  -e NO_PROXY=localhost,127.0.0.1,::1 \
5
  myimage

注意：用宿主机 IP 172.17.0.1（默认 bridge 网关），不要写 127.0.0.1（那是容器自己）。

3.2 Compose 写法#

1
services:
2
  myapp:
3
    image: myimage
4
    environment:
5
      HTTP_PROXY: http://172.17.0.1:7890
6
      HTTPS_PROXY: http://172.17.0.1:7890
7
      NO_PROXY: localhost,127.0.0.1,::1

3.3 ~/.docker/config.json（构建时也生效）#

1
{
2
  "proxies": {
3
    "default": {
4
      "httpProxy": "http://172.17.0.1:7890",
5
      "httpsProxy": "http://172.17.0.1:7890",
6
      "noProxy": "localhost,127.0.0.1,::1"
7
    }
8
  }
9
}

这种方式对所有 docker build 和 docker run 都自动生效，省去每次写 -e。

⚠️ 程序必须遵守 HTTP_PROXY 环境变量才会走代理。比如 curl / wget / Python 的 requests / Java 都遵守；但有些程序不读这个变量（如 Go 自己实现的 HTTP 客户端、部分 nodejs 库），那就只能在程序代码里改。

4.1 为什么 host.docker.internal 不行？#

1
# 这种写法在 Compose 里基本不工作
2
services:
3
  app:
4
    image: myimage
5
    extra_hosts:
6
      - "host.docker.internal:host-gateway"

原理：

• host-gateway 是 Docker 的魔法关键字，会被解析成默认 bridge 网桥的网关 IP 172.17.0.1。
• 但 Compose 会为每个项目创建独立网络，网关 IP 是 172.18.0.1 / 172.19.0.1 等，和 172.17.0.1 不在同一段。
• 结果：容器把 host.docker.internal 解析成 172.17.0.1，但自己网络段是 172.18.0.0/16，根本到不了 172.17.0.1。

4.2 查看你 Docker 上所有网关 IP#

1
docker network inspect $(docker network ls -q) \
2
  --format '{{.Name}}: Subnet={{(index .IPAM.Config 0).Subnet}} Gateway={{(index .IPAM.Config 0).Gateway}}'

输出示例：

1
bridge:               Subnet=172.17.0.0/16 Gateway=172.17.0.1
2
myapp_default:        Subnet=172.18.0.0/16 Gateway=172.18.0.1
3
otherproject_default: Subnet=172.19.0.0/16 Gateway=172.19.0.1

bridge 才是 Docker 默认的；其它都是 Compose 自动创建的。

4.3 正确做法：手动指定 Compose 网络段 + 网关#

1
services:
2
  myapp:
3
    image: myimage
4
    extra_hosts:
5
      - "host.docker.internal:172.30.0.1"      # 指向下面定义的网关
6
    environment:
7
      HTTP_PROXY: http://host.docker.internal:7890
8
      HTTPS_PROXY: http://host.docker.internal:7890
9

10
networks:
11
  default:
12
    ipam:
13
      config:
14
        - subnet: 172.30.0.0/16
15
          gateway: 172.30.0.1

关键点：

1. 自定义网段和网关（172.30.0.0/16，挑一个没被占用的）
2. extra_hosts 写死这个网关 IP，不要用 host-gateway 魔法值
3. 容器里访问 host.docker.internal → 172.30.0.1 → 宿主机

4.4 必备：宿主机防火墙放开这个网段#

⚠️ 重要：默认 ufw 会拦截除 127.0.0.1 外所有源（含 Docker 网段）。容器请求宿主机代理会被防火墙挡掉。

1
sudo ufw allow from 172.30.0.0/16
2
sudo ufw reload

或者代理软件层面允许 LAN（如 mihomo 的 allow-lan: true 配合 bind-address: "*"）。

4.5 验证容器内能否解析 + 连通#

1
docker exec -it myapp sh
2

3
# 解析
4
getent ahosts host.docker.internal
5
# 应该显示 172.30.0.1
6

7
# 连通
8
nc -zv host.docker.internal 7890
9
# 应该 succeeded

8.1 daemon 代理生效了吗？#

1
sudo systemctl show docker | grep -i proxy

8.2 镜像拉得动了吗？#

1
docker pull hello-world

8.3 容器能访问宿主机吗？#

1
docker run --rm -it alpine sh
2
# 进容器后
3
apk add curl
4
curl -v http://172.17.0.1:7890

8.4 容器内程序确实读到环境变量了吗？#

1
docker exec myapp env | grep -i proxy

8.5 程序是否遵守环境变量？#

1
docker exec myapp curl -v https://www.google.com
2
# 如果走代理，会看到 Proxy-Connection 之类的头