Docker容器无法访问微软站点：TLS/IPv6网络超时问题

根据你遇到的容器内访问微软站点/仓库失败、仅host模式正常、故障与IPv6/TLS握手相关的情况，以下是几种可落地的配置方案：

1. 禁用容器IPv6支持 #

既然故障和IPv6连接尝试直接相关，最直接的办法是关闭容器的IPv6功能：

单容器临时配置 #

运行容器时添加sysctl参数强制禁用IPv6：

docker run -it --sysctl net.ipv6.conf.all.disable_ipv6=1 --sysctl net.ipv6.conf.default.disable_ipv6=1 alpine sh

全局Docker配置 #

修改/etc/docker/daemon.json，添加IPv6禁用配置：

{
  "ipv6": false,
  "fixed-cidr-v6": ""
}

保存后重启Docker服务：

systemctl restart docker

2. 强制DNS优先返回IPv4地址 #

部分场景下DNS会同时返回IPv4和IPv6地址，容器优先尝试IPv6但连接失败，可通过配置DNS强制解析IPv4：

单容器配置 #

运行容器时指定IPv4 DNS服务器并强制TCP查询（避免UDP解析的间歇性问题）：

docker run -it --dns 8.8.8.8 --dns-options use-vc debian:12 sh

全局Docker配置 #

修改/etc/docker/daemon.json，配置全局DNS参数：

{
  "dns": ["8.8.8.8", "8.8.4.4"],
  "dns-opts": ["use-vc"]
}

重启Docker服务生效。

3. 调整TLS握手参数 #

针对TLS握手过程的间歇性故障，可强制容器使用兼容的TLS版本和加密套件：

临时测试验证 #

在容器内执行curl时指定TLS 1.2版本（微软站点普遍支持该版本）：

curl -v --tlsv1.2 https://packages.microsoft.com

持久化配置 #

修改容器的OpenSSL配置文件（Alpine路径/etc/ssl/openssl.cnf，Debian路径/etc/ssl/openssl.cnf），添加以下内容：

[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2

可通过挂载自定义配置文件到容器实现持久化：

docker run -v /host/path/openssl.cnf:/etc/ssl/openssl.cnf alpine sh

或者将该配置集成到自定义镜像中。

4. 修复Docker IPv6网络路由（如需保留IPv6） #

如果不想完全禁用IPv6，可检查并修复Docker IPv6网络的路由配置：

1. 查看默认桥接网络的IPv6信息：

docker network inspect bridge

确认IPv6网关是否在主机路由中可达。

2. 创建自定义IPv6网络：

docker network create --ipv6 --subnet fd12:3456:789a:1::/64 --gateway fd12:3456:789a:1::1 my-custom-ipv6-net

使用该网络运行容器：

docker run -it --network my-custom-ipv6-net debian:12 sh

验证步骤 #

• 检查IPv6状态：容器内执行ip -6 addr，无输出则说明IPv6已禁用
• 验证DNS解析：nslookup packages.microsoft.com，确认仅返回IPv4地址
• 测试TLS握手：openssl s_client -connect packages.microsoft.com:443 -tls1_2，确认握手成功

内容的提问来源于stack exchange，提问作者til