Docker atrás de um proxy: daemon, build e compose

A razão pela qual "configurei http_proxy, mas o docker pull ainda falha" é tão comum é que o Docker tem três contextos de rede independentes, e as variáveis de ambiente do seu shell tocam apenas um deles. Primeiro, o daemon (dockerd) é o que realmente puxa imagens de um registro — ele roda como um serviço de sistema e lê seu proxy de sua própria configuração, não do seu shell. Em segundo lugar, o build executa cada passo RUN dentro de um contêiner temporário que precisa de seu próprio proxy para acessar a rede. Por último, o contêiner em execução precisa de um proxy se o aplicativo dentro dele fizer chamadas externas.

Todos os três usam o s4m ponto de extremidade HTTP na porta 3128 com autenticação USER:PASS. A maneira moderna de configurar o daemon e o build é o arquivo de configuração do cliente Docker ~/.docker/config.json, que injeta configurações de proxy nos builds e no docker run automaticamente; o daemon em si é configurado via um drop-in do systemd ou configurações do Docker Desktop. Veja a página de proxy; isso combina naturalmente com os guias npm/yarn e pip/conda para o que roda dentro das suas imagens.

Duas precauções. Primeiro, mantenha as credenciais do proxy fora das camadas da imagem. Definir variáveis de ambiente do proxy dentro de um Dockerfile com ENV as incorpora na imagem; use argumentos de construção ou a injeção do cliente config.json em vez disso, para que as credenciais permaneçam no host de construção. Segundo, seja preciso com NO_PROXY — uma entrada ausente para um registro interno significa que o Docker tenta acessá-lo através do proxy externo e falha de forma confusa.

O proxy HTTP do s4m é um endpoint autenticado de datacenter, com pagamento conforme o uso — bem adequado para construtores de CI e hosts de DevOps que precisam puxar imagens e pacotes de trás de uma saída controlada. Não é residencial, e é um proxy de encaminhamento, não um espelho ou cache de registro; para cache de pull-through, execute um espelho de registro ao lado. Quando sua frota de construção precisa de um IP de saída permitido, adicione um IP pessoal dedicado. Um 407 em qualquer lugar significa credenciais de proxy ruins — veja o guia 407. Valide o endpoint com as ferramentas.