Docker Registry经TLS Traefik反向代理报错：远程错误：无效证书

你遇到的这个循环重试+TLS握手错误，核心是Traefik和Docker Registry之间的双向信任不匹配——毕竟你们俩都用了自签名证书，默认情况下彼此都不认对方的证书合法性。结合Registry日志里的remote error: tls: bad certificate，我帮你拆解下具体原因和对应的解决办法：

可能的原因 #

1. Traefik不信任Registry的自签名证书 #

当Traefik作为反向代理，向启用了TLS的Registry发起HTTPS请求时，Traefik的TLS客户端会默认检查Registry的证书是否在系统信任根里。自签名证书显然不在这个列表里，所以Traefik会主动终止握手，Registry那边就会记录下这个"bad certificate"的错误。

2. Registry要求客户端提供证书，但Traefik没配置 #

如果你的Registry配置里开启了客户端证书验证（比如tls.clientauth: require），那么Registry会要求所有连接它的客户端（包括Traefik）提供合法证书。Traefik默认没配置这个，自然会被Registry拒绝，触发握手错误。

3. 证书域名与连接地址不匹配 #

如果Registry的证书是针对mydomain.com签发的，但Traefik连接Registry时用的是容器内部的 hostname（比如registry:5000），证书域名验证会失败，也会导致握手错误。

针对性解决方案 #

方案1：让Traefik信任Registry的自签名证书（推荐生产/需要后端HTTPS的场景） #

把Registry的自签名证书添加到Traefik的信任根中，这样Traefik就会认可Registry的证书：

• 在Traefik的Docker Compose配置里，添加volume挂载，把Registry的证书文件挂载到Traefik容器的系统信任目录：

services:
  traefik:
    # 其他配置...
    volumes:
      - ./registry.crt:/etc/ssl/certs/registry.crt:ro

• 或者在Traefik的静态配置文件（traefik.yml）中，指定自定义CA根证书：

serversTransport:
  rootCAs:
    - /path/to/registry.crt

方案2：关闭Registry的客户端证书验证（开发环境快速解决） #

如果你的场景不需要Registry验证客户端证书，直接修改Registry的配置文件（比如config.yml），去掉客户端验证相关配置：

version: 0.1
tls:
  certificate: /etc/docker/registry/certs/domain.crt
  key: /etc/docker/registry/certs/domain.key
  # 移除或注释掉clientauth配置，或者设置为no
  # clientauth:
  #   enabled: true
  #   ca: /path/to/ca.crt

方案3：后端用HTTP，前端用Traefik的HTTPS（开发环境最省心） #

既然是开发阶段，完全可以让Registry内部监听HTTP端口，Traefik通过容器内网的HTTP连接Registry，只在用户侧提供HTTPS：

• 修改Registry的Docker配置，去掉TLS相关设置，让它监听5000端口的HTTP服务；
• 在Traefik的路由配置中，把后端服务地址设为http://registry:5000（容器名+端口），这样就绕开了后端的TLS握手问题。

额外注意点 #

别忘了Docker Registry的API路径要求——它的所有镜像操作都是基于/v2/路径的，所以Traefik的路由配置要确保路径正确传递，比如设置PathPrefix: /v2，避免路径转发错误导致的其他问题。

内容的提问来源于stack exchange，提问作者TyRyDurden