受限网络下 PentAGI 拉取 Docker Hub 镜像失败怎么排查与配置 registry mirror【免费下载链接】pentagiFully autonomous AI Agents system capable of performing complex penetration testing tasks项目地址: https://gitcode.com/GitHub_Trending/pe/pentagi如果你的部署主机无法直连 Docker Hubdocker.io在安装 PentAGI 或执行docker compose up时就会卡在镜像拉取上安装器的网络检查会验证 Docker Hub 可达性Compose 主栈的多个服务也依赖 Docker Hub 托管的镜像。本文基于 PentAGI 的 README 与安装器 checker 文档给出这条受限网络故障的排查顺序、Docker 守护进程 registry mirror 的配置方式、以及配置后的验证方法。为什么改 PentAGI 环境变量解决不了PentAGI 的文档首先点破一个常见误区如果环境无法直连docker.io只改 PentAGI 的环境变量通常不足以修复镜像下载失败。PentAGI 的 Compose 服务仍然依赖 Docker 自身的 registry 访问安装器的网络检查也会验证 Docker Hub 可达性见 README 的 Restricted Networks, Docker Mirrors, and Proxies 与 checker 文档。具体来说以下 PentAGI 变量都不能替代 Docker daemon 的 registry 配置它们只影响 PentAGI 应用镜像或 worker 镜像的选型前提是 Docker 本身已经能拉到镜像PENTAGI_IMAGE主服务镜像默认vxcontrol/pentagi:latestDOCKER_DEFAULT_IMAGE通用任务默认镜像debian:latestDOCKER_DEFAULT_IMAGE_FOR_PENTEST渗透测试任务镜像vxcontrol/kali-linux。先定位安装器网络检查在验证什么checker 文档说明了安装器网络检查的三层验证流程失败时会给出对应的详细失败信息来源checker.md 及 helpers.goDNS 解析测试能否解析docker.io失败时提示• DNS resolution failed for docker.ioHTTPS 连通性发起 proxy-aware 的 HTTPS 访问失败时提示• Cannot reach external services via HTTPSDocker 拉取测试当本地与 worker 两个 Docker client 均可用时实际尝试拉取debian:latest默认 worker 镜像失败时提示• Cannot pull Docker images from registry。据此排查应从第一层开始确认主机能否解析并访问docker.io。按文档顺序排查与修复checker 文档给出了推荐的修复顺序recommended remediation order第 1 步确认docker.io的解析与连通性。确认主机具备通用互联网访问且能解析docker.io。这一层不通过后面的 proxy/mirror 配置都没有意义。第 2 步区分代理配置的作用范围。如果你的环境需要出站代理承载 PentAGI 或安装器的 HTTP 流量设置PROXY_URL环境变量即可但要注意文档的明确边界——Docker 拉取镜像不走PROXY_URLDocker 的 registry 访问需要在 Docker daemon 或 Docker Desktop 层面单独配置代理daemon proxy。也就是说安装器/应用 HTTP 流量受阻 → 用PROXY_URLDocker 镜像拉取受阻 → 改 Docker daemon 或 Docker Desktop 的 proxy 设置。第 3 步配置 registry mirror。当 Docker Hub 被封锁或遭遇严重限流时在运行安装器或docker compose up之前在 Docker daemon / Docker Desktop 层面配置组织批准的 registry mirror 或 registry proxy。第 4 步重启 Docker 并重跑检查。修改 daemon 配置后必须重启 Docker然后重新运行安装器检查或 Compose 启动。配置 daemon 的 registry-mirrorsREADME 给出的 Docker daemon 镜像配置示例如下其中https://mirror.example.com为文档占位地址需要替换为你所在组织实际批准的镜像端点{ registry-mirrors: [https://mirror.example.com] }在 Linux 上该配置通常写入/etc/docker/daemon.json。修改该文件会影响整机的 Docker daemon 行为操作前请确认你有相应权限且保留原有配置项。在 Docker Desktop 上使用等价的 Docker Engine 或 proxy 设置。验证是否生效文档给出的验证方式是重启 Docker 后重新运行安装器网络检查installer checks或docker compose up。对应上文三层检查成功信号依次是DNS 能解析docker.ioHTTPS 连通性检查通过debian:latest试拉取成功不再出现Cannot pull Docker images from registry。如果安装器网络检查通过且 Compose 服务全部拉起则 registry mirror 配置已对当前任务生效。限制Docker Hub mirror 覆盖不到的镜像这是最容易踩的坑一个 Docker Hub mirror只能覆盖 Docker Hub 托管的镜像例如vxcontrol/*。而 PentAGI 的 Compose 文件里还有来自其他 registry 的镜像它们不受 Docker Hub mirror 影响仍需直连或各自批准的 proxy/mirror 路径来源README.md 与 checker.md主 Compose 栈包含quay.io/prometheuscommunity/postgres-exporterdocker-compose.yml可选的 observability 栈包含gcr.io/cadvisor/cadvisor:v0.51.0docker-compose-observability.yml。checker 文档对此的结论是仅配 Docker Hub mirror 不足以支撑完整部署a full deploymentquay.io与gcr.io也必须具备可达性或单独的镜像/代理路径。如果你没有部署 observability 组件则gcr.io这条限制不涉及你但quay.io的postgres-exporter在主栈中始终存在。注意区分另一种选镜像失败如果你的流程不是拉镜像失败而是启动后立即报failed to select primary docker image via llm call旧版本报告为failed to get primary docker image那通常是 LLM 后端配置问题而不是 Docker 或 registry 问题——镜像选型这一步调用的是simple类型的 agent失败指向该 agent 对应的模型配置与 registry 是否健康无关READMETroubleshooting: failed to select primary docker image via llm call。判断边界如果 Docker 拉取成功、Compose 栈正常启动只是 flow 创建卡在镜像选择应去查 LLM 后端的 base URL、API key、模型名与 tool calling 支持而不是继续调 Docker。下一步完成 registry mirror 与可达性验证后按 README 的正常路径继续即可运行安装器检查或docker compose up启动主栈。若拉取仍失败回到本文的三层检查逐层定位——DNS、HTTPS 连通、Docker 拉取测试并确认quay.io/gcr.io是否在你的网络策略覆盖范围内。【免费下载链接】pentagiFully autonomous AI Agents system capable of performing complex penetration testing tasks项目地址: https://gitcode.com/GitHub_Trending/pe/pentagi创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 
长河君 · 2026/9/13 13:40:00 · 阅读 1.2k 受限网络下 PentAGI 拉取 Docker Hub 镜像失败怎么排查与配置 registry mirror？
受限网络下 PentAGI 拉取 Docker Hub 镜像失败怎么排查与配置 registry mirror【免费下载链接】pentagiFully autonomous AI Agents system capable of performing complex penetration testing tasks项目地址: https://gitcode.com/GitHub_Trending/pe/pentagi如果你的部署主机无法直连 Docker Hubdocker.io在安装 PentAGI 或执行docker compose up时就会卡在镜像拉取上安装器的网络检查会验证 Docker Hub 可达性Compose 主栈的多个服务也依赖 Docker Hub 托管的镜像。本文基于 PentAGI 的 README 与安装器 checker 文档给出这条受限网络故障的排查顺序、Docker 守护进程 registry mirror 的配置方式、以及配置后的验证方法。为什么改 PentAGI 环境变量解决不了PentAGI 的文档首先点破一个常见误区如果环境无法直连docker.io只改 PentAGI 的环境变量通常不足以修复镜像下载失败。PentAGI 的 Compose 服务仍然依赖 Docker 自身的 registry 访问安装器的网络检查也会验证 Docker Hub 可达性见 README 的 Restricted Networks, Docker Mirrors, and Proxies 与 checker 文档。具体来说以下 PentAGI 变量都不能替代 Docker daemon 的 registry 配置它们只影响 PentAGI 应用镜像或 worker 镜像的选型前提是 Docker 本身已经能拉到镜像PENTAGI_IMAGE主服务镜像默认vxcontrol/pentagi:latestDOCKER_DEFAULT_IMAGE通用任务默认镜像debian:latestDOCKER_DEFAULT_IMAGE_FOR_PENTEST渗透测试任务镜像vxcontrol/kali-linux。先定位安装器网络检查在验证什么checker 文档说明了安装器网络检查的三层验证流程失败时会给出对应的详细失败信息来源checker.md 及 helpers.goDNS 解析测试能否解析docker.io失败时提示• DNS resolution failed for docker.ioHTTPS 连通性发起 proxy-aware 的 HTTPS 访问失败时提示• Cannot reach external services via HTTPSDocker 拉取测试当本地与 worker 两个 Docker client 均可用时实际尝试拉取debian:latest默认 worker 镜像失败时提示• Cannot pull Docker images from registry。据此排查应从第一层开始确认主机能否解析并访问docker.io。按文档顺序排查与修复checker 文档给出了推荐的修复顺序recommended remediation order第 1 步确认docker.io的解析与连通性。确认主机具备通用互联网访问且能解析docker.io。这一层不通过后面的 proxy/mirror 配置都没有意义。第 2 步区分代理配置的作用范围。如果你的环境需要出站代理承载 PentAGI 或安装器的 HTTP 流量设置PROXY_URL环境变量即可但要注意文档的明确边界——Docker 拉取镜像不走PROXY_URLDocker 的 registry 访问需要在 Docker daemon 或 Docker Desktop 层面单独配置代理daemon proxy。也就是说安装器/应用 HTTP 流量受阻 → 用PROXY_URLDocker 镜像拉取受阻 → 改 Docker daemon 或 Docker Desktop 的 proxy 设置。第 3 步配置 registry mirror。当 Docker Hub 被封锁或遭遇严重限流时在运行安装器或docker compose up之前在 Docker daemon / Docker Desktop 层面配置组织批准的 registry mirror 或 registry proxy。第 4 步重启 Docker 并重跑检查。修改 daemon 配置后必须重启 Docker然后重新运行安装器检查或 Compose 启动。配置 daemon 的 registry-mirrorsREADME 给出的 Docker daemon 镜像配置示例如下其中https://mirror.example.com为文档占位地址需要替换为你所在组织实际批准的镜像端点{ registry-mirrors: [https://mirror.example.com] }在 Linux 上该配置通常写入/etc/docker/daemon.json。修改该文件会影响整机的 Docker daemon 行为操作前请确认你有相应权限且保留原有配置项。在 Docker Desktop 上使用等价的 Docker Engine 或 proxy 设置。验证是否生效文档给出的验证方式是重启 Docker 后重新运行安装器网络检查installer checks或docker compose up。对应上文三层检查成功信号依次是DNS 能解析docker.ioHTTPS 连通性检查通过debian:latest试拉取成功不再出现Cannot pull Docker images from registry。如果安装器网络检查通过且 Compose 服务全部拉起则 registry mirror 配置已对当前任务生效。限制Docker Hub mirror 覆盖不到的镜像这是最容易踩的坑一个 Docker Hub mirror只能覆盖 Docker Hub 托管的镜像例如vxcontrol/*。而 PentAGI 的 Compose 文件里还有来自其他 registry 的镜像它们不受 Docker Hub mirror 影响仍需直连或各自批准的 proxy/mirror 路径来源README.md 与 checker.md主 Compose 栈包含quay.io/prometheuscommunity/postgres-exporterdocker-compose.yml可选的 observability 栈包含gcr.io/cadvisor/cadvisor:v0.51.0docker-compose-observability.yml。checker 文档对此的结论是仅配 Docker Hub mirror 不足以支撑完整部署a full deploymentquay.io与gcr.io也必须具备可达性或单独的镜像/代理路径。如果你没有部署 observability 组件则gcr.io这条限制不涉及你但quay.io的postgres-exporter在主栈中始终存在。注意区分另一种选镜像失败如果你的流程不是拉镜像失败而是启动后立即报failed to select primary docker image via llm call旧版本报告为failed to get primary docker image那通常是 LLM 后端配置问题而不是 Docker 或 registry 问题——镜像选型这一步调用的是simple类型的 agent失败指向该 agent 对应的模型配置与 registry 是否健康无关READMETroubleshooting: failed to select primary docker image via llm call。判断边界如果 Docker 拉取成功、Compose 栈正常启动只是 flow 创建卡在镜像选择应去查 LLM 后端的 base URL、API key、模型名与 tool calling 支持而不是继续调 Docker。下一步完成 registry mirror 与可达性验证后按 README 的正常路径继续即可运行安装器检查或docker compose up启动主栈。若拉取仍失败回到本文的三层检查逐层定位——DNS、HTTPS 连通、Docker 拉取测试并确认quay.io/gcr.io是否在你的网络策略覆盖范围内。【免费下载链接】pentagiFully autonomous AI Agents system capable of performing complex penetration testing tasks项目地址: https://gitcode.com/GitHub_Trending/pe/pentagi创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考