2026年4月实测：K8s containerd 镜像拉取全方案汇总

木雷坞
20 阅读4分钟

纯技术分享，无商业合作。

凌晨被叫醒：线上 K8s 集群镜像全挂了

上周四凌晨 2 点，电话响了——线上 K8s 集群 ImagePullBackOff 红了一整屏。containerd 日志全是 i/o timeout，之前配的几个镜像加速地址全失效了，Node 直连 registry.k8s.io，超时是必然的。

更坑的是：很多运维搜到的教程都是 Docker 的 registry-mirrors，改到 containerd 上根本不生效。这两套配置完全不一样。

技术群里最近一个月大量类似求助：

  • "K8s 1.30 升级后镜像拉不下来，containerd 怎么配？"
  • "CI/CD 里 ctr images pull 一直超时..."
  • "kubeadm init 卡在拉镜像，怎么办？"

这篇文章把实测有效的 5 种方案整理出来，附带数据对比和自动化脚本。

⚠️ Docker 配置 ≠ containerd 配置

Dockercontainerd
配置文件/etc/docker/daemon.json/etc/containerd/config.toml
加速方式registry-mirrorsregistry.configs + mirrors
重启命令systemctl restart dockersystemctl restart containerd
镜像操作docker pullctr -n k8s.io images pull

⚠️ 关键： containerd 有命名空间概念，K8s 的镜像是 k8s.io 命名空间，用 ctr images pull（默认命名空间）拉的镜像 K8s 看不到！

5 种方案实测对比

方案一：直接改 containerd 配置

# /etc/containerd/config.toml
[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
    endpoint = ["https://加速源地址"]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.k8s.io"]
    endpoint = ["https://加速源地址/k8s"]

systemctl daemon-reload && systemctl restart containerd
ctr -n k8s.io images pull docker.io/library/nginx:alpine  # 验证

✅ 生效快，对 K8s 透明 | ❌ 每个 Node 单独配置，免费源频繁失效

方案二：自建 Registry 代理（Harbor / Registry）

docker run -d -p 5000:5000 \
  -e REGISTRY_PROXY_REMOTEURL=https://registry-1.docker.io \
  --name registry-proxy registry:2
# containerd mirrors 指向 http://内网IP:5000

✅ 拉一次就缓存，后续极快 | ❌ 需要维护额外服务器

方案三：CF Worker 反代

export default {
  async fetch(request) {
    const url = new URL(request.url);
    const registry = 'https://registry-1.docker.io';
    const target = registry + url.pathname + url.search;
    return fetch(new Request(target, { method: request.method, headers: request.headers }));
  }
};

✅ 全球 CDN，延迟低 | ❌ 100MB+ 镜像层经常中断，2026 年 CF 限制更严了

方案四：国内第三方加速服务

服务速度稳定性K8s 支持
毫秒镜像10-20 MB/s高✅
DaoCloud5-10 MB/s中⚠️ 部分支持
百度云加速3-8 MB/s中❌ 仅 Docker
[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
    endpoint = ["https://加速服务地址"]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.k8s.io"]
    endpoint = ["https://加速服务地址/k8s"]

✅ 配置最简单，开箱即用 | ❌ 免费额度可能有限

方案五：nerdctl 预拉取 + 私有仓库

# 安装 nerdctl
curl -sSLO https://github.com/containerd/nerdctl/releases/download/v2.0.2/nerdctl-2.0.2-linux-amd64.tar.gz
tar -xzf nerdctl-2.0.2-linux-amd64.tar.gz && mv nerdctl /usr/local/bin/

nerdctl pull --namespace k8s.io 加速源/library/nginx:alpine
nerdctl tag --namespace k8s.io 加速源/library/nginx:alpine nginx:alpine
nerdctl push --namespace k8s.io nginx:alpine 私有仓库/nginx:alpine

✅ 灵活可控，适合 CI/CD | ❌ 需要脚本自动化

📊 实测数据

环境： 腾讯云 2C4G，安徽节点

拉取 nginx:latest（190MB）：

方案速度耗时成功率
直连 Docker Hub50-200 KB/s15-30min30%
自建 Registry5-15 MB/s15-30s85%
CF Worker2-8 MB/s30-90s60%
国内加速服务10-20 MB/s10-20s95%
nerdctl 预拉取取决于源-90%

拉取 pytorch/pytorch:2.2.0-cuda12.1（8GB，AI 训练场景）：

方案速度耗时
直连-❌ 超时失败
国内加速服务12-18 MB/s8-12min

🤖 K8s 集群批量配置

Shell 脚本版

#!/bin/bash
MIRROR_URL="你的加速源地址"

cp /etc/containerd/config.toml /etc/containerd/config.toml.bak.$(date +%Y%m%d)
containerd config default > /etc/containerd/config.toml

cat >> /etc/containerd/config.toml << 'EOF'
[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
    endpoint = ["https://MIRROR_PLACEHOLDER"]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.k8s.io"]
    endpoint = ["https://MIRROR_PLACEHOLDER/k8s"]
EOF

sed -i "s|MIRROR_PLACEHOLDER|${MIRROR_URL}|g" /etc/containerd/config.toml
systemctl daemon-reload && systemctl restart containerd
ctr -n k8s.io images pull docker.io/library/alpine:latest

Ansible 批量下发版

- name: 配置 K8s containerd 镜像加速
  hosts: k8s_nodes
  become: yes
  tasks:
    - name: 注入 mirrors 配置并重启
      shell: |
        containerd config default > /etc/containerd/config.toml
        cat >> /etc/containerd/config.toml << 'CONF'
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
          [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
            endpoint = ["https://{{ mirror_url }}"]
          [plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.k8s.io"]
            endpoint = ["https://{{ mirror_url }}/k8s"]
        CONF
        systemctl daemon-reload && systemctl restart containerd
    - name: 验证
      command: ctr -n k8s.io images pull docker.io/library/alpine:latest

⚡ 踩坑速查

改了配置不生效？ → 检查 systemctl show containerd | grep ExecStart 确认配置文件路径

ctr pull 成功但 K8s 还是报错？ → 你用了默认命名空间，要加 -n k8s.io

TLS 证书报错？ → 在 configs 里加 insecure_skip_verify = true（生产环境慎用）

kubeadm init 卡住？ → init 之前先配好加速，手动 kubeadm config images pull --image-repository=加速源/k8s

总结

场景推荐理由
个人学习 / 小集群国内加速服务开箱即用
企业生产集群自建 Registry可控性强
CI/CDnerdctl 预拉取灵活集成
临时救急国内加速服务5 分钟搞定

别等到凌晨被叫醒才开始搞这个。有问题评论区见 👇

2026 年 4 月实测，方案时效性请自行验证。

avatar
文章
阅读
粉丝