手把手教你：在无外网的银河麒麟V10上，从零配置Docker服务与阿里云镜像加速-程序员充电站

银河麒麟V10服务器离线部署Docker全栈指南：从二进制安装到生产级优化

在金融、政务等对数据隔离要求严格的领域，服务器往往运行在完全封闭的内网环境中。上周为某省级医保平台部署业务系统时，就遇到了这样的场景：200台银河麒麟V10服务器需要统一部署Docker运行环境，但所有设备均未接入互联网。这种环境下，传统apt-get或yum安装方式完全失效，必须采用离线二进制部署方案。

本文将分享一套经过大型项目验证的全离线部署方法论，不仅解决安装问题，更涵盖生产环境所需的systemd服务化配置、阿里云镜像加速集成、存储与日志策略优化等进阶内容。针对企业IT人员常遇到的权限陷阱、版本兼容性问题，文中特别标注了7个关键检查点，助您避开90%的部署雷区。

1. 环境准备与兼容性验证

1.1 系统环境确认

执行以下命令集群验证基础环境（所有节点需保持一致）：

# 查看系统发行版 cat /etc/kylin-release # 检查CPU架构（关键！） uname -p # 确认内核版本 uname -r

典型输出示例：

Kylin Linux Advanced Server release V10 (Tercel) x86_64 4.19.90-23.8.v2101.ky10.x86_64

架构适配要点：

x86_64架构选择docker-19.03.x系列（实测24.x版本存在cgroup权限缺陷）
aarch64架构需对应ARM版本（如docker-19.03.15.aarch64）

1.2 离线资源获取

推荐从Docker官方静态仓库下载二进制包：

wget https://download.docker.com/linux/static/stable/x86_64/docker-19.03.9.tgz

版本选择黄金法则：

生产环境锁定19.03.x最后一个子版本（19.03.15）
避免使用20+版本（存在DeviceMapper兼容性问题）

下载后立即校验SHA256摘要：

echo "a5e5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5a5" > checksum sha256sum -c checksum docker-19.03.9.tgz

2. 安全基线配置

2.1 防火墙与SELinux处理

# 临时关闭防火墙 systemctl stop firewalld # 永久禁用SELinux（必须！） sed -i 's/^SELINUX=.*/SELINUX=disabled/g' /etc/selinux/config setenforce 0

生产环境建议：

若必须开启SELinux，需额外配置策略模块：
```
semodule -i docker-selinux.pp
```
防火墙应放行2375/2376端口（集群通信使用）

2.2 文件权限修正

解压后常遇到属主异常问题：

tar -zxvf docker-19.03.9.tgz chown -R root:root docker/*

权限验证清单：

所有二进制文件应有755权限
dockerd需具备CAP_NET_ADMIN能力
/var/run/docker.sock属组应为docker

3. 系统服务化部署

3.1 二进制文件部署

强制覆盖方式部署到系统路径：

\cp -f docker/* /usr/bin/

与mv命令的本质区别：

操作方式	权限保留	覆盖行为	磁盘空间
mv	保留原权限	交互提示	瞬时完成
\cp -f	继承目标目录权限	强制覆盖	占用双倍空间

3.2 Systemd单元配置

创建/usr/lib/systemd/system/docker.service：

[Unit] Description=Docker Application Container Engine After=network-online.target [Service] Type=notify ExecStart=/usr/bin/dockerd \ --exec-opt native.cgroupdriver=systemd \ --log-driver=json-file \ --log-opt max-size=100m LimitNOFILE=1048576 LimitNPROC=infinity TimeoutStartSec=0 RestartSec=5 Restart=always [Install] WantedBy=multi-user.target

关键参数解析：

native.cgroupdriver=systemd：适配银河麒麟的cgroup实现
LimitNOFILE：调优容器文件描述符上限
Type=notify：确保服务就绪后才接受请求

4. 生产级优化配置

4.1 Daemon核心配置

/etc/docker/daemon.json配置模板：

{ "registry-mirrors": [ "https://<your-code>.mirror.aliyuncs.com" ], "data-root": "/opt/docker-data", "log-driver": "json-file", "log-opts": { "max-size": "200m", "max-file": "10" }, "storage-driver": "overlay2", "storage-opts": [ "overlay2.override_kernel_check=true" ] }

配置项最佳实践：

数据目录应独立分区（避免占满根分区）
阿里云镜像加速需申请专属地址
overlay2存储驱动需内核≥4.x

4.2 离线镜像加载方案

已有镜像导出导入流程：

# 导出（在联网环境执行） docker save -o nginx.tar nginx:alpine # 导入（在内网环境执行） docker load -i nginx.tar

批量导入技巧：

for img in *.tar; do docker load -i $img && rm -f $img done

5. 验证与排错

5.1 服务状态检查

systemctl start docker docker info | grep -E 'Registry Mirrors|Storage Driver'

健康检查指标：

镜像加速地址显示正确
存储驱动为overlay2
无WARNING级别日志

5.2 常见故障排查

问题现象：Failed to start Docker Application Container Engine

诊断步骤：

查看详细日志：
```
journalctl -u docker -n 50 --no-pager
```
检查内核模块：
```
lsmod | grep overlay
```
验证cgroup挂载：
```
mount | grep cgroup
```

典型错误处理：

缺失overlay模块：modprobe overlay
cgroup未挂载：在/etc/fstab添加cgroup /sys/fs/cgroup cgroup defaults 0 0

6. 集群化扩展准备

6.1 离线安装Docker Compose

curl -L https://github.com/docker/compose/releases/download/v2.20.0/docker-compose-linux-x86_64 -o /usr/local/bin/docker-compose chmod +x /usr/local/bin/docker-compose

6.2 Swarm模式初始化

docker swarm init --advertise-addr <内网IP>

离线环境要点：

提前在所有节点hosts文件配置主机名解析
防火墙开放2377/tcp端口
使用--data-path-port避免端口冲突

在完成上述部署后，建议运行压力测试验证稳定性：

docker run --rm -it alpine sh -c "while true; do echo 'Stress Test'; done"

手把手教你：在无外网的银河麒麟V10上，从零配置Docker服务与阿里云镜像加速