| 诊断 | openssl s_client 看证书链与域名 |
|---|---|
| 内网可控 | daemon insecure-registries 仅限内网 |
| 对外 | 修证书链，别降级 |
示例
示例
openssl s_client -connect registry.example.com:443 -servername registry.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates
docker pull registry.example.com/ns/app:1.0自签证书的规范做法是把 CA 放到 /etc/docker/certs.d/<registry>/ca.crt 后重启 docker。