1. 项目概述为什么需要离线安装Docker在Linux服务器运维和项目部署的日常工作中我们经常会遇到一个经典场景生产环境或内网测试环境的服务器出于安全策略或网络架构限制无法直接访问互联网。然而现代应用部署又高度依赖容器化技术Docker几乎是绕不开的一环。这时候“离线安装Docker”就从一项备选技能变成了必须掌握的硬核操作。我遇到过不少次客户现场的网络环境是“物理隔离”的或者服务器只能访问内部镜像仓库外网想都别想。这时候如果你还只会curl -fsSL https://get.docker.com | bash这一招那就只能干瞪眼了。离线安装的核心思路简而言之就是“把互联网上的依赖包提前下载好搬到内网里去装”。这听起来简单但实际操作中从依赖分析、包下载、传输到最终安装每一步都可能藏着坑。比如不同Linux发行版的包管理器apt/yum/dnf和依赖关系天差地别一个包没下全安装过程就会卡住又比如Docker Engine、CLI、Containerd等组件版本必须严格匹配否则服务都起不来。本文将基于我多次在内网、专有云、安全要求高的环境下部署的经验为你详细拆解两种主流方法分步法和一键法。分步法适合需要精细控制、理解底层依赖的工程师能让你彻底搞明白Docker离线安装的来龙去脉一键法则适合追求效率、需要批量部署的场景通过一个脚本搞定所有繁琐步骤。无论你是运维工程师、DevOps还是需要在封闭环境做开发的程序员这篇指南都能让你从容应对“断网”挑战。2. 环境准备与依赖分析在开始动手之前充分的准备工作是成功的一半。离线安装最忌讳的就是“走到一半发现缺东西”所以我们必须先把所有需要的“物料”准备齐全。2.1 确定目标系统环境首先你必须像侦探一样搞清楚目标服务器的“身份信息”。这直接决定了你需要下载哪些包。通过SSH连接到目标服务器执行以下命令# 查看系统发行版和版本号 cat /etc/os-release # 查看系统架构是x86_64还是ARM等 uname -m常见的输出结果和对应的包管理器Ubuntu/Debian系列通常显示IDubuntu或IDdebian版本如VERSION_ID20.04。包管理器为apt软件包格式为.deb。CentOS/RHEL/Rocky Linux/AlmaLinux系列通常显示IDcentos或类似。包管理器为yum或dnf软件包格式为.rpm。特别注意CentOS 8之后默认是dnf。这一步至关重要。我曾经因为没注意一台机器是aarch64ARM架构而错误下载了x86_64的包导致整个安装过程失败白白浪费了时间。2.2 准备一台可联网的“下载机”你需要一台与目标服务器系统版本、架构完全一致的、可以访问互联网的Linux机器。这台机器的作用是模拟目标环境下载所有必需的安装包。注意强烈建议使用虚拟机或容器来创建这个“下载机”确保环境纯净避免已有安装的Docker或其他软件污染依赖关系。可以使用docker run -it ubuntu:20.04 /bin/bash或类似命令快速启动一个临时容器作为下载环境。2.3 分步法依赖包下载实操在“下载机”上我们将使用系统包管理器的离线下载功能。这里以最常见的Ubuntu 20.04和CentOS 7为例。对于 Ubuntu/Debian 系统我们的目标是下载docker-ce社区版、docker-ce-cli、containerd.io以及它们的所有依赖包。# 1. 更新本地软件包索引 sudo apt-get update # 2. 安装 apt-utils 工具它包含了下载依赖所需的工具 sudo apt-get install -y apt-utils # 3. 清理旧的下载缓存可选 sudo apt-get clean # 4. 创建用于存放下载包的目录 mkdir -p ~/docker-offline-packages # 5. 核心命令仅下载不安装 # 这里假设安装最新版你也可以指定版本如 docker-ce5:20.10.13~3-0~ubuntu-focal sudo apt-get download $(apt-cache depends --recurse --no-recommends --no-suggests --no-conflicts --no-breaks --no-replaces --no-enhances docker-ce docker-ce-cli containerd.io | grep ^\w | sort -u)命令解释apt-cache depends会递归列出指定包的所有依赖不包括推荐、建议等非强依赖。grep “^\w”过滤出以字母开头的行即包名。sort -u去重。最后apt-get download下载所有这些包。对于 CentOS/RHEL 系统使用yum或dnf的downloadonly插件。# CentOS 7 / RHEL 7 (使用 yum) # 1. 安装 yum-utils它提供了 yumdownloader 工具 sudo yum install -y yum-utils # 2. 添加 Docker 官方仓库如果尚未添加 sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo # 3. 创建存放目录 mkdir -p ~/docker-offline-packages # 4. 下载 Docker CE 及相关依赖包到指定目录 # 同样可以指定版本如 docker-ce-20.10.13 sudo yum install --downloadonly --downloaddir~/docker-offline-packages docker-ce docker-ce-cli containerd.io # CentOS 8 / Rocky Linux 8 (使用 dnf) sudo dnf install -y dnf-command(download) sudo dnf config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo mkdir -p ~/docker-offline-packages sudo dnf download --downloaddir~/docker-offline-packages docker-ce docker-ce-cli containerd.io实操心得yum的--downloadonly参数在下载时可能会漏掉一些底层依赖比如container-selinux在CentOS上特别重要。一个更稳妥的方法是先在一台干净的联网机器上yum install一遍然后利用yum history找出所有安装的包再统一下载。但上述命令在大多数情况下是够用的。下载完成后~/docker-offline-packages目录下会有一堆.deb或.rpm文件。使用tar命令将它们打包准备转移到目标服务器。tar -czvf docker-offline-packages.tar.gz -C ~/docker-offline-packages .3. 分步法手动离线安装详解分步法就像手动组装一台精密仪器你能清楚地看到每一个零件软件包是如何被安装和配置的。这种方法虽然步骤多但可控性极强非常适合学习原理和排查问题。3.1 传输安装包至目标服务器将上一步打包好的docker-offline-packages.tar.gz文件通过U盘、内部文件服务器、SCP、SFTP等任何可行的方式传输到目标服务器的某个目录例如/tmp/。# 在目标服务器上解压 mkdir -p /opt/docker-offline tar -xzvf /tmp/docker-offline-packages.tar.gz -C /opt/docker-offline/3.2 离线安装核心组件现在我们进入离线安装的核心环节。请注意安装顺序有时很重要因为包之间存在依赖关系。通常包管理器会帮我们处理但手动安装时最好按基础依赖到上层应用的顺序。对于 Ubuntu/Debian 系统进入存放.deb文件的目录使用dpkg进行安装。cd /opt/docker-offline # 使用 dpkg -i 安装当前目录下所有 .deb 文件 # 如果遇到依赖错误可以使用以下命令自动安装缺失的依赖但需要本地有依赖包 sudo dpkg -i *.deb 21 | grep -E “dpkg: error|unmet dependencies” # 先看看有没有报错 # 更推荐的方式是使用 apt 来安装本地目录的包它能更好地解决依赖 sudo apt-get install -y ./*.deb对于 CentOS/RHEL 系统进入存放.rpm文件的目录使用yum或rpm安装。推荐使用yum localinstall因为它能自动解决本地 RPM 文件之间的依赖关系。cd /opt/docker-offline # 使用 yum localinstall (CentOS 7) sudo yum localinstall -y *.rpm # 或者使用 dnf (CentOS 8) sudo dnf localinstall -y *.rpm重要注意事项在离线环境下yum/dnf localinstall会尝试从已配置的在线仓库解决依赖这肯定会失败。因此你必须确保/opt/docker-offline目录下的 RPM 包已经包含了所有递归依赖。这也是为什么之前下载步骤要求尽可能下载全。如果安装失败并提示缺少某个依赖你就得回到可联网的“下载机”上把这个缺失的包也下载下来重新打包传输。3.3 安装后配置与验证安装完成后Docker 服务dockerd和 containerd 服务并不会自动启动我们需要进行一些基本配置。启动Docker服务并设置开机自启sudo systemctl start docker sudo systemctl enable docker验证安装是否成功# 查看 Docker 版本确认客户端和服务端都正常 sudo docker version # 运行一个测试容器这是最关键的验证步骤 sudo docker run hello-world如果看到 “Hello from Docker!” 等欢迎信息说明 Docker 引擎、镜像拉取虽然离线但 hello-world 镜像很小如果本地没有会尝试从默认仓库拉取可能失败、容器运行整个链条都通了。可选但推荐配置用户组 为了避免每次使用docker命令都要加sudo可以将当前用户加入docker组。sudo usermod -aG docker $USER注意执行此命令后你需要完全退出当前SSH会话并重新登录用户组变更才会生效。关键配置国内镜像加速器针对后续可能的内网穿透或未来有受限网络访问的情况 虽然现在是离线安装但配置好镜像加速器可以为将来服务。编辑/etc/docker/daemon.json文件如果不存在则创建{ “registry-mirrors”: [“https://your-mirror.example.com”] }然后重启 Docker 服务sudo systemctl daemon-reload sudo systemctl restart docker4. 一键法脚本化离线部署方案当你需要在内网批量部署几十上百台服务器时分步法就显得效率低下了。这时候“一键安装脚本”就是你的利器。其核心思想是将所有依赖包、安装脚本、甚至必要的配置文件打包成一个完整的离线安装包通过一个入口脚本自动执行所有步骤。4.1 构建离线安装包我们在一台可联网的“构建机”上完成此工作。脚本内容需要根据目标系统定制。创建一个项目目录结构docker-offline-bundle/ ├── install.sh # 主安装脚本 ├── packages/ # 存放所有 .deb 或 .rpm 包的目录 ├── config/ # 存放配置文件如 daemon.json └── README.md # 说明文档编写install.sh脚本以 CentOS 7 为例#!/bin/bash set -e # 遇到错误立即退出 echo “开始离线安装 Docker…” # 定义包目录 PACKAGE_DIR“$(cd “$(dirname “$0”)”/packages pwd)” # 检查系统 if [ -f /etc/redhat-release ]; then echo “检测到 CentOS/RHEL 系统。” # 安装所有 RPM 包 cd “$PACKAGE_DIR” sudo yum localinstall -y –disablerepo* *.rpm elif [ -f /etc/debian_version ]; then echo “检测到 Debian/Ubuntu 系统。” # 安装所有 DEB 包 cd “$PACKAGE_DIR” sudo dpkg -i *.deb || true # 忽略首次依赖错误 sudo apt-get install -f -y # 修正依赖 else echo “不支持的操作系统” exit 1 fi # 启动并设置开机自启 sudo systemctl start docker sudo systemctl enable docker # 配置镜像加速如果提供了配置文件 CONFIG_DIR“$(cd “$(dirname “$0”)”/config pwd)” if [ -f “$CONFIG_DIR/daemon.json” ]; then echo “配置 Docker daemon…” sudo cp “$CONFIG_DIR/daemon.json” /etc/docker/ sudo systemctl daemon-reload sudo systemctl restart docker fi # 验证安装 echo “验证 Docker 安装…” sudo docker version if [ $? -eq 0 ]; then echo “Docker 离线安装成功” else echo “Docker 安装验证失败请检查日志。” exit 1 fi # 添加当前用户到 docker 组可选根据需求注释掉 # sudo usermod -aG docker $USER # echo “已将用户 $USER 加入 docker 组请重新登录生效。”填充packages目录将之前用分步法下载的所有.rpm或.deb文件复制到这个目录。填充config目录可以预先准备好内网私有镜像仓库的daemon.json配置文件。最后将整个docker-offline-bundle目录打包tar -czvf docker-offline-bundle.tar.gz docker-offline-bundle/4.2 在目标服务器执行一键安装将docker-offline-bundle.tar.gz传输到目标服务器。# 解压 tar -xzvf docker-offline-bundle.tar.gz cd docker-offline-bundle # 赋予脚本执行权限并运行 chmod x install.sh sudo ./install.sh脚本会自动检测系统类型安装所有软件包完成基础配置并验证。整个过程无需人工干预非常适合自动化部署工具如 Ansible调用。实操心得一键脚本的健壮性至关重要。一定要在脚本开头加入set -e确保任何一步出错就停止避免留下一个半残废的环境。另外脚本中的路径最好使用绝对路径或通过$(dirname “$0”)动态获取避免因执行目录不同而找不到文件。5. 常见问题与深度排查指南即使按照步骤操作离线安装也可能遇到各种问题。这里我总结了一些最常见的“坑”及其解决方案。5.1 依赖包缺失或冲突问题现象在安装.deb或.rpm包时提示unmet dependencies、requires XXX but none is available。根本原因在“下载机”上未能完整下载所有递归依赖包。解决方案回源头查漏回到可联网的“下载机”使用更彻底的下载命令。对于yum/dnf可以尝试先在线安装一遍然后通过repoquery –requires –resolve docker-ce这样的命令列出所有依赖再逐一比对下载。手动补包根据错误信息明确缺少哪个包例如libseccomp2 2.4.2。在“下载机”上单独下载这个包apt download libseccomp2或yum download libseccomp2加入离线包目录重新传输安装。使用离线仓库对于超大规模部署更专业的做法是搭建一个本地离线 YUM/APT 仓库。将下载的所有包放入仓库目录运行createrepoYUM或dpkg-scanpackagesAPT生成元数据。然后在目标服务器上将仓库源指向这个本地地址。这样yum install docker-ce就能像在线一样自动解决所有依赖。虽然初始搭建稍复杂但长期来看管理效率最高。5.2 Docker服务启动失败问题现象执行sudo systemctl start docker后失败使用sudo systemctl status docker查看日志发现报错。常见错误及排查Failed to start Docker Application Container Engine.查看详细日志sudo journalctl -xe -u docker或sudo tail -f /var/log/messages。常见原因1存储驱动问题。某些旧内核或特定文件系统如 overlay2 在某些版本上不支持。可以尝试在/etc/docker/daemon.json中指定{“storage-driver”: “vfs”}性能差仅用于测试或者升级内核。常见原因2Cgroup 驱动不匹配。特别是与 Kubernetes 一起用时。Docker 默认使用cgroupfs而 systemd 管理的系统可能更适合systemd。在/etc/docker/daemon.json中配置{“exec-opts”: [“native.cgroupdriversystemd”]}。iptables/防火墙相关错误Docker 需要操作 iptables 规则来管理容器网络。确保iptables命令可用并且没有其他防火墙规则如 firewalld 的某些严格规则阻止 Docker。可以尝试临时停止 firewalldsudo systemctl stop firewalld然后启动 Docker 测试。如果成功则需要配置 firewalld 放行 Docker 相关区域和端口。SELinux 阻止在 CentOS/RHEL 上SELinux 可能会阻止 Docker。可以尝试临时设置为宽容模式测试sudo setenforce 0。如果问题解决则需要为 Docker 配置正确的 SELinux 策略而不是永久关闭 SELinux。5.3docker run hello-world失败问题现象Docker 服务起来了但运行测试容器失败。排查思路网络问题hello-world镜像默认从 Docker Hub 拉取。在完全离线的环境你需要提前将hello-world镜像导入到本地。在可联网的机器上执行docker pull hello-world然后docker save -o hello-world.tar hello-world将hello-world.tar传输到目标服务器执行docker load -i hello-world.tar。最后再运行docker run hello-world。镜像拉取策略即使有本地镜像Docker 也可能尝试联系网络。确保你的/etc/docker/daemon.json中没有配置错误的镜像仓库地址。用户权限如果你没有使用sudo且未将用户加入docker组会提示权限拒绝。记得重新登录生效。5.4 内核版本与兼容性问题Docker 对 Linux 内核版本有最低要求例如某些新特性需要内核 3.10 以上。使用uname -r检查内核版本。如果版本过低可能无法使用 Overlay2 存储驱动等新特性甚至无法运行。解决方案是升级系统内核但这在内网环境中可能涉及系统变更流程需要谨慎操作。6. 进阶技巧构建完全自包含的离线环境对于安全要求极高、甚至与互联网物理隔离的环境仅仅安装 Docker 引擎是不够的。你还需要考虑离线镜像仓库部署一个私有镜像仓库如 Harbor 或 Docker Registry并将所有需要的应用镜像如 Nginx, MySQL, Redis 以及你自己的业务镜像提前推送到这个内网仓库中。在目标服务器的 Docker 配置中将仓库地址指向这个内网仓库。离线安装 Docker Compose很多应用使用docker-compose.yml编排。Docker Compose 也是一个独立的二进制文件可以从其 GitHub Release 页面下载对应版本直接放到/usr/local/bin/并赋予执行权限即可。版本固化与归档将成功部署所用的所有安装包、镜像 tar 包、配置文件、安装脚本连同其版本信息一起归档。这为未来的回滚、审计、以及在新环境中复现提供了唯一准确的依据。通过分步法你掌握了离线安装的每一个细节和原理通过一键法你获得了批量部署的效率工具。结合对常见问题的预判和解决能力你已经能够应对绝大多数 Linux 服务器离线安装 Docker 的挑战。记住离线部署的核心在于“准备”二字准备得越充分现场安装就越顺利。下次再面对那台孤零零的、无法连接外网的生产服务器时你大可以自信地掏出准备好的离线包从容不迫地完成部署。