Podman 5.4 配置国内镜像源失败原因？

Question

在使用 Podman 5.4 配置国内镜像源时，常见问题为修改 `/etc/containers/registries.conf` 文件后仍无法拉取镜像，提示“no such host”或“connection timeout”。其根本原因通常在于：配置格式错误（如未使用 TOML 语法）、镜像源地址书写不规范（缺少 `docker://` 前缀或使用已失效的镜像站点），或系统启用了 rootless 模式但未同步更新用户级配置文件 `~/.config/containers/registries.conf`。此外，部分发行版默认启用 cgroups v2 或防火墙策略限制，也可能阻断镜像拉取。需结合日志 `podman info` 与网络连通性排查，确保配置生效且网络可达。

Answer 1

1. 问题现象与初步排查

在使用 Podman 5.4 配置国内镜像源时，用户常遇到修改 /etc/containers/registries.conf 后仍无法拉取镜像的问题。典型错误提示包括："no such host" 或 "connection timeout"。这些错误通常指向网络层或配置解析失败。

podman pull registry.cn-hangzhou.aliyuncs.com/google_containers/pause:3.9
Error: initializing source docker://registry.cn-hangzhou.aliyuncs.com/google_containers/pause:3.9: pinging container registry registry.cn-hangzhou.aliyuncs.com: Get "https://registry.cn-hangzhou.aliyuncs.com/v2/": dial tcp: lookup registry.cn-hangzhou.aliyuncs.com: no such host

此阶段应首先确认是否为临时网络波动，可通过 ping 或 curl -v 测试目标镜像站点的可达性：

curl -v https://registry.cn-hangzhou.aliyuncs.com/v2/

2. 配置文件格式深度解析（TOML语法要求）

Podman 从 v4 开始全面采用 TOML 格式替代旧版 YAML 或 INI 风格的 registries.conf。若沿用传统写法将导致配置未被正确加载。

错误示例	正确写法（TOML）
[registries.search] registries = ["docker.io"]	[[registries.search]] registries = ["docker.io"]
[[registry]] location = aliyun	[[registry]] location = "docker.io" [[registry.mirror]] location = "registry.cn-hangzhou.aliyuncs.com"

TOML 中数组需使用双括号 [[ ]] 表示结构体列表，单括号仅定义普通键值对。

3. 镜像源地址规范与常见失效站点识别

国内常用镜像源如阿里云、中科大、网易等均需以 docker:// 协议前缀隐式支持，但在配置中必须显式指定其完整路径，并注意 HTTPS 支持。

• ✅ 正确格式：registry.cn-hangzhou.aliyuncs.com
• ❌ 错误格式：http://registry.cn-hangzhou.aliyuncs.com（协议不应手动添加）
• ⚠️ 已停服站点：daocloud.io、docker.mirrors.ustc.edu.cn（部分子域名已下线）

推荐当前稳定可用的镜像源：

1. 阿里云容器镜像服务：registry.cn-hangzhou.aliyuncs.com
2. 华为云 SWR：swr.cn-east-2.myhuaweicloud.com
3. 腾讯云 TCR：ccr.ccs.tencentyun.com

4. Rootless 模式下的双配置机制

当用户启用 rootless 模式运行 Podman 时，系统优先读取用户主目录下的配置文件而非全局配置。

# 查看当前生效配置路径
podman info --format '{{.Registries}}'

若仅修改了 /etc/containers/registries.conf 而未同步更新用户级配置，则 rootless 用户仍将尝试连接原始仓库。

graph TD
    A[启动 podman pull] --> B{是否 rootless?}
    B -- 是 --> C[读取 ~/.config/containers/registries.conf]
    B -- 否 --> D[读取 /etc/containers/registries.conf]
    C --> E[应用镜像源规则]
    D --> E
    E --> F[发起网络请求]

5. cgroups v2 与防火墙策略影响分析

现代 Linux 发行版（如 Fedora 36+、Ubuntu 22.04+）默认启用 cgroups v2，可能影响容器运行时的网络命名空间初始化。

# 检查 cgroup 版本
stat -fc %T /sys/fs/cgroup/
# 输出为 'cgroup2fs' 表示 v2 启用

同时，firewalld 或 nftables 规则可能阻止 outbound 连接：

sudo firewall-cmd --list-all | grep -i rich-rule
# 确保无限制容器网络的规则存在

可临时关闭防火墙测试连通性：

sudo systemctl stop firewalld