GitHub Actions无自托管Runner如何使用内网私有Docker Registry容器

这套方案不生效是GitHub Actions的两个基础机制决定的，没有绕开的可能：

• 托管Runner是Job级临时资源，每个Job分配独立的全新虚拟机，Job结束立刻销毁，跨Job没有任何状态共享——不管是Docker镜像、VPN连接还是本地文件，前一个Job拉的镜像后一个Job根本碰不到。
• 就算放到同一个Job里，你在container字段定义的执行镜像，是Runner在跑任何你写的Step之前就会拉取启动的。你把连VPN的逻辑写在Step里，等VPN连上的时候，Runner早就因为拉不到内网镜像报错退出了，执行时机完全对不上。

直接放弃顶层container配置，把所有逻辑放到同一个Job里顺序执行：先连VPN，再登录私有镜像仓库，最后手动启动目标镜像跑构建逻辑。
可用配置参考：

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout 仓库代码
        uses: actions/checkout@v4

      - name: 连接Tailscale内网
        uses: tailscale/github-action@v2
        with:
          authkey: ${{ secrets.TAILSCALE_AUTHKEY }}
          # 不建议使用过旧的1.18版本，替换为当前稳定版可避免大部分兼容问题
          version: 1.48.2

      - name: 登录私有容器镜像仓库
        uses: docker/login-action@v3
        with:
          registry: my-registry.net
          username: ${{ secrets.REGISTRY_USER }}
          password: ${{ secrets.REGISTRY_PASSWORD }}

      - name: 在私有镜像环境中执行构建任务
        run: |
          docker run --rm \
            # 挂载当前工作区到容器内，保证代码可被容器访问
            -v ${{ github.workspace }}:/workspace \
            # 指定容器工作目录和挂载路径一致
            -w /workspace \
            # 按需传入需要的环境变量、密钥
            -e GITHUB_TOKEN=${{ secrets.GITHUB_TOKEN }} \
            my-registry.net/my-image:latest \
            # 下方替换为你原本需要在容器内执行的所有构建命令
            npm ci
            npm run build
            npm run test

• 若构建步骤较多，可将所有执行逻辑整理为独立shell脚本提交到仓库，直接在docker run命令末尾调用脚本即可，避免YAML中命令过长难以维护。
• Tailscale连接完成后Runner主机已接入内网，Docker守护进程默认使用主机网络访问Registry，无需额外配置Docker代理或路由规则。
• 环境变量按需通过-e参数传入容器即可，无需全量透传Runner内置环境变量，降低敏感信息泄露风险。

内容的提问来源于stack exchange，提问作者gmode