手把手教你：在无外网的银河麒麟V10上，从零配置Docker服务与阿里云镜像加速
银河麒麟V10服务器离线部署Docker全栈指南：从二进制安装到生产级优化
在金融、政务等对数据隔离要求严格的领域，服务器往往运行在完全封闭的内网环境中。上周为某省级医保平台部署业务系统时，就遇到了这样的场景：200台银河麒麟V10服务器需要统一部署Docker运行环境，但所有设备均未接入互联网。这种环境下，传统apt-get或yum安装方式完全失效，必须采用离线二进制部署方案。
本文将分享一套经过大型项目验证的全离线部署方法论，不仅解决安装问题，更涵盖生产环境所需的systemd服务化配置、阿里云镜像加速集成、存储与日志策略优化等进阶内容。针对企业IT人员常遇到的权限陷阱、版本兼容性问题，文中特别标注了7个关键检查点，助您避开90%的部署雷区。
1. 环境准备与兼容性验证
1.1 系统环境确认
执行以下命令集群验证基础环境（所有节点需保持一致）：
# 查看系统发行版 cat /etc/kylin-release # 检查CPU架构（关键！） uname -p # 确认内核版本 uname -r典型输出示例：
Kylin Linux Advanced Server release V10 (Tercel) x86_64 4.19.90-23.8.v2101.ky10.x86_64架构适配要点：
- x86_64架构选择
docker-19.03.x系列（实测24.x版本存在cgroup权限缺陷） - aarch64架构需对应ARM版本（如
docker-19.03.15.aarch64）
1.2 离线资源获取
推荐从Docker官方静态仓库下载二进制包：
wget https://download.docker.com/linux/static/stable/x86_64/docker-19.03.9.tgz版本选择黄金法则：
- 生产环境锁定19.03.x最后一个子版本（19.03.15）
- 避免使用20+版本（存在DeviceMapper兼容性问题）
- 下载后立即校验SHA256摘要：
echo "a5e5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5" > checksum sha256sum -c checksum docker-19.03.9.tgz
2. 安全基线配置
2.1 防火墙与SELinux处理
# 临时关闭防火墙 systemctl stop firewalld # 永久禁用SELinux（必须！） sed -i 's/^SELINUX=.*/SELINUX=disabled/g' /etc/selinux/config setenforce 0生产环境建议：
- 若必须开启SELinux，需额外配置策略模块：
semodule -i docker-selinux.pp - 防火墙应放行2375/2376端口（集群通信使用）
2.2 文件权限修正
解压后常遇到属主异常问题：
tar -zxvf docker-19.03.9.tgz chown -R root:root docker/*权限验证清单：
- 所有二进制文件应有755权限
- dockerd需具备CAP_NET_ADMIN能力
- /var/run/docker.sock属组应为docker
3. 系统服务化部署
3.1 二进制文件部署
强制覆盖方式部署到系统路径：
\cp -f docker/* /usr/bin/与mv命令的本质区别：
| 操作方式 | 权限保留 | 覆盖行为 | 磁盘空间 |
|---|---|---|---|
| mv | 保留原权限 | 交互提示 | 瞬时完成 |
| \cp -f | 继承目标目录权限 | 强制覆盖 | 占用双倍空间 |
3.2 Systemd单元配置
创建/usr/lib/systemd/system/docker.service：
[Unit] Description=Docker Application Container Engine After=network-online.target [Service] Type=notify ExecStart=/usr/bin/dockerd \ --exec-opt native.cgroupdriver=systemd \ --log-driver=json-file \ --log-opt max-size=100m LimitNOFILE=1048576 LimitNPROC=infinity TimeoutStartSec=0 RestartSec=5 Restart=always [Install] WantedBy=multi-user.target关键参数解析：
native.cgroupdriver=systemd：适配银河麒麟的cgroup实现LimitNOFILE：调优容器文件描述符上限Type=notify：确保服务就绪后才接受请求
4. 生产级优化配置
4.1 Daemon核心配置
/etc/docker/daemon.json配置模板：
{ "registry-mirrors": [ "https://<your-code>.mirror.aliyuncs.com" ], "data-root": "/opt/docker-data", "log-driver": "json-file", "log-opts": { "max-size": "200m", "max-file": "10" }, "storage-driver": "overlay2", "storage-opts": [ "overlay2.override_kernel_check=true" ] }配置项最佳实践：
- 数据目录应独立分区（避免占满根分区）
- 阿里云镜像加速需申请专属地址
- overlay2存储驱动需内核≥4.x
4.2 离线镜像加载方案
已有镜像导出导入流程：
# 导出（在联网环境执行） docker save -o nginx.tar nginx:alpine # 导入（在内网环境执行） docker load -i nginx.tar批量导入技巧：
for img in *.tar; do docker load -i $img && rm -f $img done5. 验证与排错
5.1 服务状态检查
systemctl start docker docker info | grep -E 'Registry Mirrors|Storage Driver'健康检查指标：
- 镜像加速地址显示正确
- 存储驱动为overlay2
- 无WARNING级别日志
5.2 常见故障排查
问题现象：Failed to start Docker Application Container Engine
诊断步骤：
- 查看详细日志：
journalctl -u docker -n 50 --no-pager - 检查内核模块：
lsmod | grep overlay - 验证cgroup挂载：
mount | grep cgroup
典型错误处理：
- 缺失overlay模块：
modprobe overlay - cgroup未挂载：在
/etc/fstab添加cgroup /sys/fs/cgroup cgroup defaults 0 0
6. 集群化扩展准备
6.1 离线安装Docker Compose
curl -L https://github.com/docker/compose/releases/download/v2.20.0/docker-compose-linux-x86_64 -o /usr/local/bin/docker-compose chmod +x /usr/local/bin/docker-compose6.2 Swarm模式初始化
docker swarm init --advertise-addr <内网IP>离线环境要点：
- 提前在所有节点hosts文件配置主机名解析
- 防火墙开放2377/tcp端口
- 使用
--data-path-port避免端口冲突
在完成上述部署后，建议运行压力测试验证稳定性：
docker run --rm -it alpine sh -c "while true; do echo 'Stress Test'; done"