处于企业代理环境，Docker无法访问主机可访问的内网私有npm仓库，如何解决？

我之前在企业代理环境里也碰到过类似的问题——主机能正常访问内网私有npm仓库，但Docker容器里死活连不上，还报那种SSL协议错误。结合你的情况，十有八九是下面这几个原因之一，咱们逐一排查解决：

1. 先检查NO_PROXY有没有包含私有仓库地址 #

你已经在容器里设了HTTP_PROXY和HTTPS_PROXY，但很可能漏把内网仓库的域名/IP加到NO_PROXY里了。企业代理本来就不该代理内网地址，如果容器访问仓库时硬走了代理，而代理又碰不到内网的仓库，就会返回一堆乱七八糟的内容，curl自然就认不出SSL协议了。

操作步骤：

• 先在容器里跑echo $NO_PROXY，看看输出里有没有你的私有仓库域名（就是<registry>那串）
• 如果没有，赶紧把它加进去：

  export NO_PROXY=<registry>,localhost,127.0.0.1
  

  要是启动容器的时候传环境变量，就这么写：

  docker run -e HTTP_PROXY=http://你的代理地址:端口 -e HTTPS_PROXY=http://你的代理地址:端口 -e NO_PROXY=<registry> 你的镜像名
  

  注意：如果仓库是IP地址就直接加IP；是域名的话，先在容器里ping <registry>测试下能不能解析，解析不了的话还得配DNS。

2. 确认代理支持HTTPS的CONNECT方法 #

有些企业HTTP代理默认不让过HTTPS的CONNECT请求，当容器通过代理访问HTTPS仓库时，代理没法建立隧道连接，返回的内容根本不是仓库的SSL响应，curl就会报“unknown protocol”错误。

怎么验证：
在容器里跑带详细日志的curl：

curl -v https://<registry>/nodejs/content/groups/npm/lodash

看输出里有没有CONNECT <registry>:443 HTTP/1.1这行，以及代理的响应是不是200 Connection established。要是返回403、500这类状态码，那就是代理不让过。

解决办法：

• 找IT部门，让他们把这个内网仓库的HTTPS端口加到代理白名单里，或者确认代理支持CONNECT方法。
• 要是仓库允许HTTP访问（应急用，不推荐长期这么干），可以临时把npm仓库改成HTTP的：

  npm config set registry http://<registry>/nodejs/content/groups/npm/
  

3. 试试Docker的host网络模式 #

Mac上的Docker默认用bridge网络，容器的网络是隔离的，可能没法直接摸到内网的私有仓库（比如仓库在主机的内网网段，容器的网段和主机不互通）。

解决办法：

• 启动容器的时候用--network host参数，让容器共享主机的网络栈：

  docker run --network host -e HTTP_PROXY=http://你的代理地址:端口 -e HTTPS_PROXY=http://你的代理地址:端口 -e NO_PROXY=<registry> 你的镜像名
  

  这样容器就直接用主机的网络配置了，主机能访问的它也能访问。
• 或者用traceroute <registry>在容器里查路由，看看数据包能不能走到仓库那里，要是走不通就得调整Docker的网络路由设置。

4. 检查SSL/TLS版本是否兼容 #

容器里的curl或者npm用的SSL/TLS版本可能和私有仓库不搭——比如仓库用的是旧的TLS 1.0/1.1，而容器里的curl默认禁用了这些旧协议，握手自然就失败了。

怎么验证：
在容器里指定TLS版本试试：

curl --tlsv1.0 https://<registry>/nodejs/content/groups/npm/lodash

或者：

curl --tlsv1.1 https://<registry>/nodejs/content/groups/npm/lodash

要是其中某个命令能成功返回JSON，那就是版本兼容的问题。

解决办法：

• 临时放宽SSL验证（安全风险高，只应急用）：

  npm config set strict-ssl false
  npm config set registry https://<registry>/nodejs/content/groups/npm/
  

• 要么升级容器里的curl、npm版本，要么找仓库管理员把仓库的SSL/TLS版本升到TLS 1.2以上。

最后测试 #

改完之后，先在容器里重新跑curl命令验证：

curl https://<registry>/nodejs/content/groups/npm/lodash

能拿到JSON数据的话，再跑npm install lodash试试，应该就能正常安装了。

内容的提问来源于stack exchange，提问作者ThomasReggi