无法直连公网的Docker Registry镜像推送方案咨询

除了你提到的tar包导入导出方式，还有以下几种更高效的解决思路：

1. SSH反向隧道映射Registry端口 #

利用本地设备的出站连接权限，在具备公网访问能力的外部机器上建立反向隧道，将本地Registry的端口映射到外部机器端口，实现外部间接推送。

操作步骤：

• 在本地设备执行反向隧道命令（假设外部机器地址为external-server，本地Registry端口为5000）：

  ssh -R 5000:localhost:5000 user@external-server
  

• 配置外部机器的SSH服务，开启GatewayPorts yes（修改/etc/ssh/sshd_config后重启sshd），允许外部访问映射端口。
• 外部机器即可正常推送镜像：

  docker tag your-image:tag external-server:5000/your-image:tag
  docker push external-server:5000/your-image:tag
  

2. 一站式镜像传输+加载+推送 #

通过管道结合SSH直接传输镜像数据流到本地设备，无需生成本地tar文件，简化操作流程：

在外部机器上执行：

docker save your-image:tag | ssh user@local-device "
  docker load &&
  docker tag your-image:tag localhost:5000/your-image:tag &&
  docker push localhost:5000/your-image:tag
"

3. 本地主动拉取外部镜像并推送 #

使用镜像跨仓库复制工具skopeo，让本地设备主动通过出站连接拉取外部已推送的镜像，再推送到本地Registry：

• 本地设备安装skopeo（Docker官方生态工具）。
• 执行复制命令（假设外部镜像仓库地址为external-repo）：

  skopeo copy docker://external-repo/your-image:tag docker://localhost:5000/your-image:tag
  

如果没有独立外部仓库，也可在外部机器临时启动一个Registry服务，本地通过出站连接拉取后再推送。

内容的提问来源于stack exchange，提问作者Q-bertsuit