GKE无法拉取Docker Hub公开镜像，AKS可正常运行求助

问题分析 #

从错误日志dial tcp 44.205.64.79:443: i/o timeout可以明确：GKE集群节点无法与Docker Hub的registry服务器建立网络连接，这是镜像拉取失败的核心原因——和镜像是否公开、imagePullSecrets配置无关（AKS能正常拉取也验证了镜像本身无问题）。

排查与解决步骤 #

1. 验证GKE节点的网络连通性 #

直接在GKE节点上测试对Docker Hub的访问：

• 先通过kubectl get nodes获取节点名称，再用gcloud compute ssh <节点名称>登录节点
• 在节点内执行以下命令排查：

  # 测试DNS解析是否正常
  nslookup registry-1.docker.io
  # 测试TCP 443端口连通性
  telnet registry-1.docker.io 443
  # 测试HTTPS访问是否正常
  curl -v https://registry-1.docker.io/v2/
  

如果以上命令出现超时，说明节点出站网络存在限制。

2. 检查GKE集群的防火墙规则 #

GKE默认允许节点出站访问公网，但自定义防火墙规则可能阻断443端口流量：

• 登录GCP控制台，进入VPC网络 > 防火墙
• 检查是否存在针对GKE节点池的出站规则，确保允许节点实例组（带gke-<集群名称>-<节点池名称>-nodes标签）访问0.0.0.0/0的443端口
• 若缺少规则，创建一条允许该节点组出站访问443端口的防火墙规则

3. 检查VPC私有网络与云NAT配置 #

如果GKE集群使用VPC私有网络且启用了私有Google访问，但未配置云NAT会导致节点无法访问公网：

• 进入GCP控制台的VPC网络 > 云NAT
• 确认集群所在VPC是否配置了云NAT网关，若未配置，创建云NAT实例，确保节点可通过NAT访问公网

4. 改用GCP容器注册表（GCR）代理镜像 #

为规避Docker Hub的网络限制，可将镜像同步到GCR后再拉取：

• 本地拉取并推送镜像到GCR：

  gcloud auth configure-docker
  docker pull registryName/myImageName:latest
  docker tag registryName/myImageName:latest gcr.io/<你的GCP项目ID>/myImageName:latest
  docker push gcr.io/<你的GCP项目ID>/myImageName:latest
  

• 修改Pod定义中的镜像地址：

  apiVersion: v1
  kind: Pod
  metadata:
    name: testapp
    labels:
      name: testapp
  spec:
    containers:
    - name: testapp
      image: gcr.io/<你的GCP项目ID>/myImageName:latest
      resources:
        requests:
          memory: "128Mi"
          cpu: "200m"
        limits:
          memory: "256Mi"
          cpu: "500m"
      ports:
        - containerPort: 8080
  

GKE拉取同区域GCR镜像的速度更快，且不受Docker Hub网络波动影响。

5. 确认Docker Hub速率限制（辅助排查） #

虽然错误是超时，但也可验证是否触发匿名拉取速率限制：

• 本地匿名拉取镜像测试：docker pull registryName/myImageName:latest，若提示速率限制，可重新确认imagePullSecrets的凭证有效性（你已尝试，可快速校验）

内容的提问来源于stack exchange，提问作者Kiran