Calico 镜像稳妥拉取DaoCloud 镜像站前缀切换与失败排查清单【免费下载链接】public-image-mirror很多镜像都在国外。比如 gcr 。国内下载很慢需要加速。致力于提供连接全世界的稳定可靠安全的容器镜像服务。项目地址: https://gitcode.com/GitHub_Trending/pu/public-image-mirror装 Calico 时节点要拉 cni、node、kube-controllers 等镜像。官方源拉得慢或报 404 时可以切到 DaoCloud 镜像站地址。这篇讲清 Kubernetes 镜像拉取时前缀怎么换、在哪改、如何验证以及失败的排查顺序。先给结论Calico v3.26.1 镜像替换规则通常优先走官方源官方源不通时再切到 DaoCloud 镜像站。你只需要动镜像地址的开头仓库名和 tag 保持不动。两种写法都能用按 registry 习惯挑一种加前缀官方推荐写法m.daocloud.io/docker.io/calico/cni:v3.26.1前缀替换docker.m.daocloud.io/calico/cni:v3.26.1判断条件很简单原地址属于docker.io就按上表改开头calico整个命名空间已在白名单内无需额外配置。 想要可复现建议把 tag 换成sha256:摘要比可变 tag 更稳。Calico 组件替换清单组件原镜像前缀推荐前缀注意事项cnidocker.io/calicodocker.m.daocloud.io/calico常随 CNI 二进制一起拉版本要和 node 对齐nodedocker.io/calicodocker.m.daocloud.io/calico每节点都会拉量大建议放在闲时kube-controllersdocker.io/calicodocker.m.daocloud.io/calico集群级组件升级时注意与 CNI 控制器匹配其余 calico/*docker.io/calicodocker.m.daocloud.io/calicotypha、confd 等按同规则替换替换后验证标签与版本一致性检查拉完别只信ImagePullBackOff之外的信号建议按下面几步核对。拉取是否成功看kubectl get pod的STATUSErrImagePull、ImagePullBackOff表示还没拿到。标签是否对上确认实际用的 tag 是v3.26.1没被写成latest。版本一致性对比 cni、node、kube-controllers 的 tag三者应同属一个版本线。摘要是否匹配看RepoDigests确认各层 hash 与上游源对齐避免同名不同内容。crictl images | grep calico拉取失败排查顺序cni、node、kube-controllers如果失败建议按这个顺序逐层排别一上来就换源。网络连通能否访问镜像站域名出口是否被限流或拦截。域名解析docker.m.daocloud.io是否解析到正常地址还是被本地 DNS 改写。认证calico公开一般不涉及 401私有命名空间才需要登录。标签是否存在⚠️404多半是 tag 名写错或摘要对不上先核对 tag。源可用性偶发404可能是缓存层到期触发重新同步稍等重试也可留意同步队列是否积压。适用边界官方源、私有源与版本锁定官方源能直连就先走官方镜像站只是兜底别把兜底当默认。私有源 / 企业内网内网常配本地缓存或私有 registry优先让内网节点从缓存拉而不是直接指向公网镜像站。 版本锁定生产建议用sha256:锁死摘要可变 tag 会随上游变更镜像站侧也可能按缓存策略重新同步出现同名不同内容。换镜像站本质是改前缀官方源通就走官方不通再切 DaoCloud。拉完核对 tag 与摘要比反复重试更能定位问题。生产环境把摘要锁死可复现性更高。【免费下载链接】public-image-mirror很多镜像都在国外。比如 gcr 。国内下载很慢需要加速。致力于提供连接全世界的稳定可靠安全的容器镜像服务。项目地址: https://gitcode.com/GitHub_Trending/pu/public-image-mirror创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考