进入 2026 年，国内开发者在使用 Docker 时面临着前所未有的挑战。曾经稳定的官方镜像站、各大云厂商提供的公共镜像加速器（如阿里云、网易云等）相继停止服务或限制访问，导致 docker pull 命令频繁出现 Connection refused 或 Timeout 错误。对于依赖容器化部署的工程师来说，这无疑严重阻碍了生产力。

传统的修改 daemon.json 添加镜像源的方法已基本失效，而通过设置环境变量 HTTP_PROXY 的方式又往往因为 Docker 守护进程的特殊性导致配置繁琐且易出错。本文将详细介绍如何利用 Clash Verge Rev 的 TUN 模式，从网络底层彻底接管 Docker 流量，实现无感、高速的镜像拉取体验。

为什么传统的 Docker 代理设置经常失效？

在深入教程前，我们需要理解 Docker 的网络架构。Docker 分为 Client（客户端） 和 Daemon（守护进程） 两部分。当你运行命令时，实际上是 Client 向 Daemon 发送请求，由 Daemon 负责去下载镜像。这导致了两个常见误区：

误区一： 在终端 export 代理环境变量。这只对当前 Shell 生效，而负责拉取镜像的 dockerd 进程并不受此环境变量影响。
误区二： 修改 ~/.docker/config.json。这主要影响容器运行时的网络，对 docker pull 的帮助有限。

使用 Clash Verge Rev 的 TUN 模式可以完美避开这些复杂的配置。TUN 模式会创建一个虚拟网卡，将系统所有的网络请求（包括 Docker Daemon 的请求）全部拦截并按照 Clash 的规则进行分流，真正做到“配置一次，全局生效”。

准备工作

在开始配置之前，请确保你已经完成了以下基础步骤：

安装 Clash Verge Rev： 确保已安装最新版本的客户端，建议版本在 v1.6.0 以上，以获得更好的 Mihomo 内核支持。
有效订阅： 拥有一个支持海外节点且流量充足的订阅链接，确保能够正常连接到 Docker Hub 所在的网络。
管理员权限： 开启 TUN 模式需要安装虚拟网卡驱动，这必须具备系统的管理员权限。

第一步：配置 Clash Verge Rev 核心参数

为了让 Docker 流量顺利通过代理，我们需要对 Clash 进行一些针对性的设置，特别是 DNS 和内核选择。

1. 选择 Mihomo (Meta) 内核

Docker 的流量通常涉及复杂的域名解析和 IP 连接，Mihomo 内核在处理 TUN 模式和分流规则上比原版内核更强大。在 Clash Verge Rev 的“设置”中，确认内核已切换为 Mihomo。

2. 开启 Fake-IP 模式

Docker 容器和守护进程在解析域名时，有时会绕过系统代理。开启 Fake-IP 模式可以强制所有域名解析请求返回一个虚拟 IP，从而确保流量能被 TUN 网卡捕获。

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - 223.5.5.5
    - 119.29.29.29

在 Clash Verge Rev 的“配置”编辑中，可以直接在“外部配置”或“预处理脚本”中合并上述 DNS 设置。

第二步：开启并优化 TUN 模式

这是修复 Docker 访问的核心步骤。TUN 模式能够捕获那些不遵循系统代理设置的软件流量。

安装 Wintun 驱动 — 进入“设置”页面，找到 TUN 模式选项。点击“安装服务”或“安装驱动”。Windows 会弹出授权窗口，请点击“是”。

启用 TUN 模式 — 拨动开关开启 TUN 模式。此时，你的系统网络面板中会出现一个名为 `clash` 或 `wintun` 的新网卡。

配置 Stack 模式 — 对于 Docker 兼容性，建议在 TUN 设置中将 Stack 选为 gVisor 或 System。gVisor 通常在处理并发连接时更稳定。

开启 TUN 后，如果发现 Docker 依然无法拉取，请尝试重启 Docker Desktop 或重启 Docker 服务，以刷新守护进程的网络句柄。

第三步：添加 Docker 相关分流规则

即使开启了全局代理，为了节省流量并保证国内镜像（如私有仓库）的访问速度，建议使用规则模式。你需要确保以下域名被包含在代理规则中：

docker.io (Docker Hub 官方主站)
registry-1.docker.io (镜像下载实际地址)
production.cloudflare.docker.com (CDN 加速地址)
docker.com (官方相关页面)
gcr.io / k8s.gcr.io (Google 容器镜像)
quay.io (Red Hat 镜像站)

在 Clash Verge Rev 的“订阅”->“编辑文件”中，添加如下规则片段：

rules:
  - DOMAIN-SUFFIX,docker.io,代理策略
  - DOMAIN-SUFFIX,docker.com,代理策略
  - DOMAIN-SUFFIX,cloudflare.docker.com,代理策略
  - DOMAIN-SUFFIX,gcr.io,代理策略
  - DOMAIN-SUFFIX,quay.io,代理策略

验证修复结果

配置完成后，打开你的终端（PowerShell 或 CMD），尝试拉取一个较小的镜像来测试：

docker pull alpine:latest

如果控制台立即显示 Pulling from library/alpine 并且进度条开始快速移动，说明代理已经成功接管了 Docker 流量。如果依然卡住，请检查 Clash Verge Rev 的“连接”面板，观察是否有发往 registry-1.docker.io 的请求，并确认其状态是否为“代理”。

常见问题 FAQ

开启 TUN 后 Docker Desktop 报错无法启动？

这通常是因为虚拟网卡冲突。尝试先关闭 TUN 模式，启动 Docker Desktop，待其完全运行后再开启 TUN。或者在 Docker 设置中切换“Network mode”为高级模式。

拉取速度非常慢怎么办？

Docker 镜像层文件较大，对节点的带宽和稳定性要求较高。请在 Clash 的“代理”页面切换到负载均衡（Load Balance）节点，或者选择一个延迟较低的专线节点。同时确认你的订阅没有被限速。

Linux 服务器上可以使用这个方案吗？

可以。在 Linux 上你可以部署 Clash Verge 的内核版本（Mihomo），同样开启 TUN 模式。这比修改 /etc/systemd/system/docker.service.d/http-proxy.conf 要优雅得多。

立即下载开始使用

在 2026 年的开发环境下，拥有一个稳定且强大的网络分流工具是每一位开发者的必修课。Clash Verge Rev 不仅仅是一个代理客户端，更是解决 Docker Hub 访问难题、提升容器化开发效率的利器。相比于不断寻找随时可能失效的镜像源，掌握 TUN 模式的主动权才是长久之计。

你可以前往我们的 Clash 客户端下载页获取适用于 Windows、macOS 和 Linux 的最新版安装包，开启你的极速开发之旅。免费下载，一键安装，彻底告别 docker pull 的漫长等待。