Docker detrás de un proxy: demonio, construcción y composición

La razón por la que "configuré http_proxy pero docker pull aún falla" es tan común es que Docker tiene tres contextos de red independientes, y las variables de entorno de tu shell solo tocan uno de ellos. Primero, el daemon (dockerd) es el que realmente descarga imágenes de un registro — se ejecuta como un servicio del sistema y lee su proxy de su propia configuración, no de tu shell. En segundo lugar, el build ejecuta cada paso RUN dentro de un contenedor temporal que necesita su propio proxy para acceder a la red. Por último, el contenedor en ejecución necesita un proxy si la aplicación dentro de él realiza llamadas salientes.

Los tres utilizan el s4m punto final HTTP en el puerto 3128 con autenticación USER:PASS. La forma moderna de configurar el daemon y el build es el archivo de configuración del cliente de Docker ~/.docker/config.json, que inyecta configuraciones de proxy en los builds y en docker run automáticamente; el daemon en sí se configura a través de un drop-in de systemd o configuraciones de Docker Desktop. Consulta la página de proxy; esto se empareja naturalmente con las guías de npm/yarn y pip/conda para lo que se ejecuta dentro de tus imágenes.

Dos advertencias. Primero, mantén las credenciales del proxy fuera de las capas de la imagen. Configurar variables de entorno del proxy dentro de un Dockerfile con ENV las incorpora en la imagen; usa argumentos de construcción o la inyección del cliente config.json en su lugar, para que las credenciales permanezcan en el host de construcción. Segundo, sé preciso con NO_PROXY — una entrada faltante para un registro interno significa que Docker intenta acceder a él a través del proxy externo y falla de manera confusa.

El proxy HTTP de s4m es un punto final autenticado de centro de datos, con pago por uso medido — bien adaptado para constructores de CI y hosts de DevOps que deben obtener imágenes y paquetes desde detrás de una salida controlada. No es residencial, y es un proxy directo, no un espejo de registro o caché; para caché de tirón, ejecuta un espejo de registro junto a él. Cuando tu flota de construcción necesita una IP de salida permitida, añade una IP personal dedicada. Un 407 en cualquier lugar significa credenciales de proxy incorrectas — consulta la guía 407. Valida el punto final con las herramientas.