如果你手头还有CentOS 7的服务器在跑又想把Docker装上那这篇内容应该能帮你省下不少折腾时间。CentOS 7在2024年6月30日正式停止维护之后yum源、官方仓库、镜像拉取这一整套链路都出现了连锁问题。最典型的就是执行yum install docker-ce的时候各种404要么是源失效要么是证书报错新手很容易卡在这一步就走不下去了。这篇教程面向的是CentOS 7服务器上需要搭建Docker环境的人不管你是自己练手、公司老项目复用还是准备跑青龙面板之类的容器服务核心安装流程和踩坑点都是通用的。我会从EOL之后的源修复、仓库配置、安装选型、启动验证讲到常见故障排查全程使用实际可复制的命令。文章较长但每一步都有明确的执行逻辑建议照着顺序操作。1. 装之前必须想明白的三件事EOL、内核与容器生态1.1 CentOS 7 EOL之后的连锁反应很多人以为EOL只是“不再提供技术支持”这么简单但实际影响要比想象中大得多。CentOS 7停止维护后默认的mirror.centos.org仓库被整体下架指向该域名的yum源在安装任何软件时都会报Could not resolve host或者404 Not Found。Docker安装恰恰依赖yum来解析依赖关系源都挂了后面自然全线崩溃。处理思路其实很明确把原本指向mirror.centos.org的地址全部替换成vault.centos.org。这是CentOS官方专门存放归档版本的域名EOL系统的所有历史软件包仍然完整保留在里面。这一步不做后面安装Docker依赖包时就会报Package docker-ce requires containerd.io之类的问题而且无法自动解决。替换方式后面章节会给出完整命令这里先提醒一点不要跳过这个步骤直接配Docker源因为Docker的rpm包安装时底层会调用/etc/yum.repos.d/下的源去拉依赖包基础源不修复Docker源配得再漂亮也是白搭。1.2 内核版本与Docker的兼容关系Docker官方要求Linux内核版本不低于3.10而CentOS 7默认内核是3.10.x理论上是满足最低要求的。但这只是“能跑”的底线实际使用中不同Docker版本对内核特性、存储驱动、cgroup版本都有隐性要求。CentOS 7的内核默认使用cgroup v1而新版Docker尤其是20.10之后的版本对cgroup v2也有支持但CentOS 7无法原生切换到cgroup v2所以绑定cgroup驱动时最好明确使用native.cgroupdriversystemd让Kubernetes和容器运行时共用一套管理逻辑避免双驱动冲突。内核太老还直接影响存储驱动。CentOS 7默认环境推荐使用overlay2但前提是内核支持d_type特性。3.10内核在多数物理机和主流虚拟机上是没问题的但个别老内核或特殊文件系统下可能遇到devicemapper回退这个后面在踩坑章节会详细展开。一句话建议如果服务器只是跑常规容器docker-ce 20.10.x系列在CentOS 7上最稳如果追求新特性非要装24以上的版本先确认内核版本不低于3.10.0-1160否则出现问题不要甩锅给Docker先怀疑内核。1.3 容器是什么给新手的直观类比在动手打命令之前我习惯用一个类比跟新手解释Docker到底在解决什么问题。你可以把容器想象成一个个标准化的集装箱集装箱里面装了你的应用、依赖库、配置文件、运行环境。不管这艘船开到哪里只要有Docker这个“港口系统”集装箱一放下就能跑完全不用关心码头原来的地面铺的是什么材质。这个类比解释了Docker最核心的价值环境隔离与交付标准化。你在自己机器上开发好的东西打包成镜像扔到CentOS 7服务器上拉起来表现完全一致。这也是为什么很多老项目即使CentOS 7已经EOL仍然在坚持使用——不是不想迁而是容器化之后的迁移成本可控但底层这套基础设施实在动不了。2. 环境检查与依赖清理给服务器做个体检2.1 确认系统版本与内核版本开始安装前我习惯先用两条命令给服务器“验明正身”cat /etc/centos-release uname -rcat /etc/centos-release会输出类似CentOS Linux release 7.9.2009 (Core)的版本信息确认这确实是CentOS 7。uname -r输出内核版本号比如3.10.0-1160.el7.x86_64。内核版本建议不低于3.10.0-957这是Docker官方在CentOS 7上做验证时常用的基线版本。如果内核版本过低后面跑容器时可能遇到operation not permitted之类的诡异问题。另外用getconf LONG_BIT确认系统架构是64位Docker从很早就放弃了对32位系统的支持32位机器直接劝退别浪费时间。2.2 卸载残留旧版本避免装出人格分裂如果服务器上之前装过docker、docker-engine、podman或buildah建议先清理干净。多个容器运行时并存在同一台机器上最直观的后果是docker命令和containerd版本不匹配运行容器时出现failed to load plugin排查起来非常耗时。查看是否装过旧版本rpm -qa | grep -E docker|container|podman如果有输出先停服再卸载systemctl stop docker yum remove -y docker docker-client docker-client-latest docker-common docker-latest docker-latest-logrotate docker-logrotate docker-engine podman runc卸载后顺手清理残留目录rm -rf /var/lib/docker /etc/docker /var/run/docker.sock这个清理动作一定不能省否则新老版本配置文件和运行目录混在一起启动时经常出现socket冲突或状态残留排查成本非常高。2.3 补齐依赖包和基础工具CentOS 7最小化安装时很多包都没有Docker安装依赖以下三个关键包yum-utils提供yum-config-manager命令方便管理Docker仓库device-mapper-persistent-data和lvm2是存储驱动依赖虽然默认存储驱动已经切换为overlay2但Docker的部分底层能力依然依赖device-mapper装了能避免不少边缘问题。yum install -y yum-utils device-mapper-persistent-data lvm2如果执行过程中提示依赖冲突或找不到包说明base源还没修好先回到第1章把源换掉再继续。同时建议检查服务器时间是否准确date证书校验、镜像拉取、容器日志时间戳都依赖系统时间。如果时区不是Asia/Shanghai可以顺手同步一下yum install -y chrony systemctl enable --now chronyd timedatectl set-timezone Asia/Shanghai时间不对导致镜像仓库TLS握手失败的案例不在少数这类问题表面看像是网络故障实际根源往往是时间偏了好几年。3. 换源与安装EOL之后最关键的几步3.1 把yum基础源切换到vault否则一切免谈首先备份原始仓库配置操作出错还能回滚cp -r /etc/yum.repos.d /etc/yum.repos.d.bak然后下载阿里云提供的CentOS 7仓库文件并修改为指向vaultcurl -o /etc/yum.repos.d/CentOS-Base.repo https://mirrors.aliyun.com/repo/Centos-7.repo sed -i s|^mirrorlist|#mirrorlist|g /etc/yum.repos.d/CentOS-Base.repo sed -i s|^#baseurlhttp://mirror.centos.org/centos|baseurlhttp://vault.centos.org/centos|g /etc/yum.repos.d/CentOS-Base.repo重建缓存yum clean all yum makecacheyum makecache如果跑完没有报404基础源就通了。这一步是整个安装流程的基石它保证后续所有依赖包都能找到下载位置。3.2 配置Docker仓库官方源与国内镜像源怎么选基础源修复后开始配置Docker仓库。官方源地址是download.docker.com/linux/centos/docker-ce.repo但在国内网络环境下下载速度有时非常不稳定而且部分网络环境下该域名已被干扰配置后执行yum install可能长时间卡住。我个人的选择是直接用阿里云的docker-ce镜像源速度快且稳定yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo添加后检查一下repo文件内容确保baseurl指向的是阿里云地址而不是download.docker.comcat /etc/yum.repos.d/docker-ce.repo如果仍然出现官方地址执行以下替换sed -i s|download.docker.com/linux/centos|mirrors.aliyun.com/docker-ce/linux/centos|g /etc/yum.repos.d/docker-ce.repo之后再次重建缓存yum clean all yum makecache3.3 选择合适的安装方式yum还是rpm包仓库配置完成后查看可用版本列表yum list docker-ce --showduplicates | sort -r这会列出当前源里所有可用的docker-ce版本。推荐使用指定版本安装避免最新版本在CentOS 7这个老系统上出现兼容性问题yum install -y docker-ce-20.10.24 docker-ce-cli-20.10.24 containerd.io docker-buildx-plugin docker-compose-plugindocker-buildx-plugin和docker-compose-plugin是扩展插件不影响核心安装。如果只需要最基础的docker run能力只装前三个也可以。另一种方式是直接下载rpm包离线安装这种方式特别适合内网环境或源不稳定的场景。从阿里云镜像站选择对应版本下载然后使用yum localinstall自动解析依赖yum localinstall -y docker-ce-20.10.24-3.el7.x86_64.rpm docker-ce-cli-20.10.24-3.el7.x86_64.rpm containerd.io-1.6.28-3.1.el7.x86_64.rpmyum localinstall比rpm -ivh高明的地方在于它能自动从已经配好的yum源里拉取缺少的依赖包不会出现装完发现缺库又要手动找包的情况。3.4 安装过程中的异常处理如果安装时出现Error: Package: containerd.io-1.6.x requires container-selinux 2.107一类的报错说明系统缺少container-selinux包。这个包在CentOS 7的base源和extras源里都有但EOL后如果源没修好就会找不到。先确认基础源已经切到vault然后执行yum install -y container-selinux再重新安装Docker即可。如果出现Multilib version problems通常是因为同时装了x86_64和i686架构的包清理掉非当前架构的docker包就能解决。4. 启动、自启与验证从安装完成到能跑第一个容器4.1 systemd的统一接管CentOS 7使用systemd作为init系统Docker安装完成后不会自动启动。先启动守护进程systemctl start docker然后设置开机自启systemctl enable dockersystemctl enable会在/etc/systemd/system/multi-user.target.wants/下创建符号链接保证服务器重启后Docker自动拉起来。这一步想不起来做下次重启机器后发现docker: command not found或者Cannot connect to the Docker daemon又得手动启动一遍白白浪费时间。启动后查看服务状态systemctl status docker状态输出里的Active: active (running)就是正常状态。如果看到failed说明启动阶段就出了问题需要结合日志排查这个在踩坑章节细说。4.2 用hello-world镜像做端到端验证服务启动之后最好用一个最小镜像验证整条链路是否通畅docker run hello-world这个命令会先从本地仓库查找hello-world镜像不存在则从配置的镜像仓库拉取然后创建容器并执行。如果终端输出一段说明文字表示Docker从安装到运行完全正常。这里有个细节值得说清楚docker run hello-world触发的是一次完整的“拉镜像-创建容器-启动进程-回收容器”生命周期。如果这一步能走通说明权限、网络、存储驱动、容器运行时全部正常。这一步建议每个新手都跑一遍比直接跑复杂服务更容易定位问题。4.3 查看版本与守护进程关键信息端到端验证通过后再用两条命令确认Docker运行状态docker version docker infodocker version分为Client和Server两段。重点看Server段的Version、GoVersion、OS/Arch。如果Server段是空白或者报错Cannot connect to the Docker daemon说明守护进程有问题检查systemctl status docker。docker info输出信息更丰富重点关注以下字段Storage Driver: 当前存储驱动推荐是overlay2Cgroup Driver: 推荐是systemdServer Version: 客户端和服务端版本是否一致Registry Mirrors: 是否配置了镜像加速器Docker Root Dir: 容器数据存放目录确认磁盘空间是否充足这些字段在排查问题时是第一手情报。5. 踩坑实录这六类问题最容易让新手翻车5.1 EOL后yum源失效404报错反复出现这是CentOS 7上安装Docker最典型的失败场景。执行yum install docker-ce时报错http://mirror.centos.org/centos/7/extras/x86_64/Packages/xxx.rpm: [Errno 14] HTTP Error 404 - Not Found问题根源就是EOL后官方仓库下线但本地的repo文件里仍记录着旧地址。排查链路如下执行yum repolist查看当前启用的仓库确认哪些源有异常检查/etc/yum.repos.d/下所有repo文件中的baseurl指向把指向mirror.centos.org的链接全部替换为vault.centos.org排查时有个小技巧直接用curl -I测试某个仓库URL是否可达能节省大量时间curl -I http://vault.centos.org/centos/7/os/x86_64/Packages/返回200 OK说明源可用404 Not Found说明路径和版本号不匹配。5.2 存储驱动不是overlay2导致性能暴跌有些服务器安装完成后docker info里显示的Storage Driver是devicemapper而不是overlay2。devicemapper在CentOS 7上虽然能用但性能和稳定性都差不少特别是Loopback设备模式下容器磁盘IO会明显变慢。出现这种情况的原因通常是内核的overlay模块未加载或文件系统不支持d_type。可以先手动加载模块试试modprobe overlay然后在/etc/docker/daemon.json中显式指定存储驱动{ storage-driver: overlay2 }重启Docker后再次查看docker info。如果仍然回退到devicemapper说明内核过老或文件系统不支持可能需要升级内核或者接受devicemapper方案。对于生产环境我一般建议把Docker数据目录放到xfs或ext4分区上能显著减少d_type相关问题的概率。5.3 拉取镜像超时卡在Waiting或Retrying安装完成后第一次docker pull就卡住最常见的有两种表现一直显示Waiting或者报net/http: TLS handshake timeout。这通常是网络问题。解决办法是配置镜像加速器。目前国内可用的公共加速器包括阿里云容器镜像服务登录后获取专属加速地址、腾讯云镜像源、DaoCloud的公共加速器等。我的参考配置如下{ registry-mirrors: [ https://docker.m.daocloud.io, https://hub-mirror.c.163.com ] }配置完成后重启Docker生效systemctl daemon-reload systemctl restart docker注意这里说的是镜像加速器提供的是Docker Hub官方镜像的缓存加速属于云厂商的合规公共服务不是代理通道。如果某些镜像仍然拉取失败优先检查网络连通性或者换一个加速地址。5.4 iptables与nftables冲突导致Docker无法启动CentOS 7.9之后系统可能同时存在iptables和nftables两套规则管理工具。Docker守护进程默认依赖iptables来维护容器网络规则如果系统里iptables命令对应的后端是nftables容器启动会报错iptables failed: iptables --wait -t nat -A DOCKER: No chain/target/match by that name排查步骤iptables -t nat -L -n正常情况应该能显示NAT表规则。如果执行直接报错或返回异常说明iptables被nftables接管了需要安装传统的iptables相关包yum install -y iptables安装后再重启Dockersystemctl restart docker如果问题依旧考虑先重置firewalld规则再让Docker重建链systemctl stop firewalld systemctl start docker systemctl start firewalld这个顺序很关键先停防火墙、再启动Docker让Docker创建链路规则、最后恢复防火墙加载规则两者之间需要兼容指引。5.5 SELinux策略拦截容器操作SELinux处于Enforcing状态时容器进程的部分操作会被拦截典型表现是docker run后容器秒退journalctl -u docker中能看到avc: denied日志。这里不建议直接关闭SELinux虽然关闭能解决90%的权限问题但会降低系统整体安全防护能力。更精准的做法是检查日志中具体被拦截的操作然后选择以下方式之一处理getenforce如果确实不想动SELinux策略可以在启动容器时添加--security-opt labeldisable参数告诉运行时不给容器打SELinux标签绕过拦截。如果希望全局生效在/etc/docker/daemon.json中加{ selinux-enabled: false }这种方式同样会有安全损失生产环境要评估后再操作。5.6 磁盘空间不足与Docker Root目录迁移Docker默认把所有镜像、容器、卷都放在/var/lib/docker。如果根分区只有20G跑几个镜像可能就满了。日志报错通常是no space left on device先检查磁盘占用df -h如果确实紧张最省事的办法是把整个Docker数据目录迁移到大分区。比如把新目录放到/data/docker{ data-root: /data/docker }然后systemctl stop docker mv /var/lib/docker /data/docker systemctl restart docker迁移后确认docker info中Docker Root Dir已经变成新路径。注意迁移前要确保目标分区有足够空间新旧目录不能共存否则容易出现镜像层引用错乱。6. 装完不等于完事镜像加速、权限与日常维护6.1 配置镜像加速器和daemon.json核心参数安装成功后第一个要做的就是配置/etc/docker/daemon.json。这个文件是Docker守护进程的核心配置入口它决定了镜像加速、数据目录、日志策略、cgroup驱动等关键行为。下面是我在CentOS 7上的参考配置{ registry-mirrors: [ https://docker.m.daocloud.io, https://hub-mirror.c.163.com ], data-root: /var/lib/docker, exec-opts: [native.cgroupdriversystemd], log-driver: json-file, log-opts: { max-size: 50m, max-file: 3 }, storage-driver: overlay2 }逐项解释一下registry-mirrors镜像拉取加速地址exec-optscgroup驱动指定为systemd如果这台机器之后要对接Kubernetes这个配置能避免双驱动冲突log-driver和log-opts限制单个容器日志文件大小和滚动数量防止日志吃满磁盘storage-driver显式指定overlay2修改配置后执行systemctl daemon-reload systemctl restart docker6.2 让普通用户直接使用docker命令每次执行docker命令都加sudo体验很差而且容易把权限问题混入到脚本调试中。正确的做法是把用户加入docker组sudo usermod -aG docker $USER然后重新登录会话或者执行newgrp docker验证方法docker ps如果不再提示permission denied,说明权限配置成功。这里有一个安全提示docker组的用户等同于拥有root权限因为用户可以通过挂载宿主机目录到容器来读写任意文件。所以不要把非信任用户随便放入docker组。6.3 常用命令与日志排查速查安装和基本配置完成后日常使用最频繁的命令大概有这么几条docker ps -a # 查看所有容器包含已停止的 docker images # 查看本地镜像列表 docker logs -f 容器名 # 跟踪容器日志输出 docker exec -it 容器名 /bin/bash # 进入运行中的容器 docker inspect 容器名 # 查看容器详细信息常用于排查网络和挂载配置 docker stats # 查看实时资源占用 docker system prune -f # 清理悬空镜像和停止的容器守护进程本身出问题时日志才是真正的突破口journalctl -u docker -f这条命令会实时滚动输出dockerd日志大部分启动失败原因都能在这里找到线索。排查问题时先看日志、再想原因比盲目改配置高效得多。我个人操作中的一个小习惯是每次改完daemon.json或重启Docker前先用dockerd --validate做配置校验如果版本支持提前暴露JSON语法问题避免重启后才发现配置错误导致服务起不来。另外生产环境一定要锁版本不要轻易执行yum update docker-ce新版本对内核和依赖的要求可能会突然超出CentOS 7的能力范围。装好只是起点真正决定稳定性的是你后续对镜像、日志、磁盘、权限这些细节的管理。按照上面这套流程走完CentOS 7上的Docker环境至少能给你一个干净、可控、不容易返工的基础设施。