Docker拉取私有Registry镜像时出现unexpected EOF错误求助

以下是针对该问题的分步排查与解决方法：

1. 彻底清理本地Docker缓存与损坏层 #

• 删除本地已存在的目标镜像（若有）：

  docker rmi REPO_IP:5000/IMAGE:TAG
  

• 清理Docker所有未使用资源，包括缓存层：

  docker system prune -af
  

• 手动定位并删除对应损坏层的残留文件（以主流的overlay2存储驱动为例）：

  rm -rf /var/lib/docker/image/overlay2/layers/f0c94b4d71f0*
  

2. 确认daemon.json配置完全生效 #

• 打开Docker守护进程配置文件：

  vi /etc/docker/daemon.json
  

• 确保insecure-registries为数组格式，无语法错误：

  {
    "insecure-registries": ["REPO_IP:5000"]
  }
  

• 重启Docker服务并验证配置：

  systemctl restart docker
  docker info | grep -A5 "Insecure Registries"
  

  确认输出中包含REPO_IP:5000，说明不安全Registry配置已生效。

3. 排查Registry端的层文件完整性与服务配置 #

• 直接通过HTTP请求测试目标层的可用性：

  curl http://REPO_IP:5000/v2/IMAGE/blobs/sha256:f0c94b4d71f0
  

  若返回unexpected EOF或无法完整下载，说明Registry端的该层文件已损坏。
• 重新上传镜像时，务必使用未损坏的干净镜像源：比如从其他能正常拉取该镜像的机器导出镜像，再导入到当前机器后推送：

  # 在正常机器上导出镜像
  docker save REPO_IP:5000/IMAGE:TAG -o image.tar
  # 传输到当前机器后导入并推送
  docker load -i image.tar
  docker push REPO_IP:5000/IMAGE:TAG
  

• 检查Registry容器的启动参数：如果启动命令包含--tls-cert-file或--tls-key-file，说明Registry启用了HTTPS，此时客户端要么配置对应证书，要么将Registry改为HTTP模式。

4. 排除网络层面的干扰 #

• 测试客户端与Registry的网络连通性：

  ping REPO_IP
  telnet REPO_IP 5000
  

  确保端口无丢包、能正常连通。
• 临时关闭客户端或Registry端的防火墙（如firewalld）测试：

  systemctl stop firewalld
  

  若问题解决，需添加允许Docker通信的防火墙规则：

  firewall-cmd --add-port=5000/tcp --permanent
  firewall-cmd --reload
  

• 检查是否有HTTP代理干扰：执行env | grep -i proxy，若存在代理，确认Registry IP已加入代理白名单，或临时取消代理后重试拉取。

5. 重建Registry存储（最后手段） #

如果挂载的数据卷存在文件系统损坏，可备份后重建Registry：

# 备份现有Registry数据
docker run --rm -v registry-data:/data -v $(pwd):/backup busybox tar cvzf /backup/registry-backup.tar.gz /data
# 删除原数据卷
docker volume rm registry-data
# 重新启动Registry容器
docker run -d -p 5000:5000 --name registry -v registry-data:/data registry:latest
# 推送干净的镜像到新存储的Registry
docker push REPO_IP:5000/IMAGE:TAG

内容的提问来源于stack exchange，提问作者Abdelhadi Abdelhadi