RHEL8 NFS共享环境下skopeo copy远程镜像挂起问题排查

问题背景 #

在RHEL8系统的NFS共享存储环境中，执行skopeo copy docker://<源镜像> docker://<目标镜像>命令时出现挂起，但skopeo inspect、skopeo list-tags命令可正常运行。挂起前的DEBUG日志如下：

DEBU[0000] Manifest has MIME type application/vnd.oci.image.manifest.v1+json, ordered candidate list [application/vnd.oci.image.manifest.v1+json, application/vnd.docker.distribution.manifest.v2+json, application/vnd.docker.distribution.manifest.v1+prettyjws, application/vnd.oci.image.index.v1+json, application/vnd.docker.distribution.manifest.list.v2+json, application/vnd.docker.distribution.manifest.v1+json] 

DEBU[0000] ... will first try using the original manifest unmodified

已排除空间不足、网络故障等因素，需解决skopeo copy挂起问题。

核心原因推测 #

skopeo inspect和list-tags仅处理镜像元数据（manifest、标签），无需读写大量数据；而copy需要拉取镜像层并写入本地存储（或缓存），因此问题大概率出在NFS存储的交互逻辑或skopeo与NFS的兼容性上。

解决方案 #

1. 检查并调整NFS挂载参数 #

• 查看当前NFS挂载参数：执行mount | grep nfs，检查是否包含async、noac等可能导致写阻塞的参数。
• 尝试重新挂载NFS，调整关键参数：

  umount /path/to/nfs-mount
  mount -t nfs -o vers=4.2,sync,hard,rsize=1048576,wsize=1048576 <nfs-server>:/export/path /path/to/nfs-mount
  

  说明：sync强制同步写，避免异步写导致的挂起；调整rsize/wsize优化传输效率；指定明确的NFS版本（如4.2）避免版本协商问题。
• 检查NFS服务器端的锁服务：确保rpc.statd、rpc.lockd服务在客户端和服务器端均正常运行，skopeo写入镜像时可能依赖文件锁。

2. 临时切换至本地存储测试 #

将skopeo的临时工作目录切换到本地磁盘，验证是否为NFS存储导致的问题：

TMPDIR=/tmp/skopeo-local-tmp skopeo copy docker://<源镜像> docker://<目标镜像> --debug

如果命令正常执行，说明问题确实出在NFS存储的配置上，需针对性优化NFS挂载或权限设置。

3. 升级skopeo至最新稳定版本 #

RHEL8默认仓库中的skopeo版本可能存在NFS相关的已知bug，尝试升级：

# 先启用EPEL仓库（如果未启用）
dnf install epel-release -y
# 升级skopeo
dnf update skopeo -y

升级后重新执行copy命令，验证是否解决挂起问题。

4. 调整SELinux策略 #

RHEL8的SELinux可能限制了容器工具（如skopeo）访问NFS存储，可临时关闭SELinux测试：

setenforce 0

如果命令正常运行，添加持久化的SELinux规则：

setsebool -P container_use_nfs 1

5. 启用TRACE级日志定位卡点 #

添加--log-level=trace参数，获取更详细的执行日志，明确挂起时的具体操作阶段：

skopeo copy docker://<源镜像> docker://<目标镜像> --log-level=trace

根据日志中最后输出的内容，可精准定位是镜像层拉取阶段还是写入NFS阶段出现阻塞。

内容的提问来源于stack exchange，提问作者NishitS