Docker私有仓库（Registry）用于在企业内部存储和分发容器镜像，是容器化交付链中的关键组件。若仓库未设置访问控制，任何能够触达网络端口的主机都可能执行镜像拉取、推送甚至删除操作，导致镜像篡改、敏感信息泄露或供应链攻击。默认情况下，Docker Registry并未内置IP访问限制，因此需要额外配置。
通过设置IP白名单，仅允许经过授权的源IP地址访问仓库服务，可以显著缩小网络暴露面，降低未授权访问风险。该策略尤其适用于办公网固定出口IP、企业专线或VPN接入等场景，为仓库提供第一道访问边界。
在运行Registry的主机或云安全组层面，对仓库监听端口（默认5000）设置来源IP过滤。例如，在Linux主机上可使用iptables限制访问来源，或在云平台中配置安全组规则，仅放行可信IP段。
在Nginx中通过allow和deny指令控制访问来源，同时可叠加TLS传输加密和客户端证书认证。此方式灵活，便于统一管理访问策略并记录访问日志。
原生Docker Registry虽然支持基于Token的认证，但并不直接提供IP白名单功能。实际部署中，通常将IP过滤交由前置的反向代理或基础设施层完成。
IP白名单适用于来源地址相对稳定的网络环境。对于源IP易伪造或经过多层代理的场景，应结合更严格的认证机制。同时，需避免将白名单规则配置过于松散，以免失去限制意义。
通过合理的IP白名单策略，企业可以在不显著增加运维复杂度的前提下，有效提升Docker私有仓库的访问安全性，为镜像供应链提供基础保障。
企业微信
微信公众号
