“内网装 Docker Desktop”这四个字干过的人都知道里面藏着多少坑。我这半年被同伴呼叫过不下十回场景基本一样开发机不能直接连公网或者只有白名单网络可手里项目偏偏要跑容器——比如内网搭 Dify、建设 agent 智能体、起数据库中间件。围观者总觉得“没网怎么装 Docker Desktop”其实真到了现场你会发现装不上往往不是没有安装包而是环境没摸清、物料没带齐。这篇就写给准备在公司内网、离线机房或受限网络环境里装 Docker Desktop 的同行平台以 Windows 10/11 为主会覆盖镜像搬运、WSL2 后端准备、常见启动报错这些真正卡人的地方。文章里的思路我在 Windows 11 完全离线、以及半离线白名单环境下都实测过照着走能省下大半天的踩坑时间。1. 内网安装前的环境摸底这几件事不做必翻车1.1 先分清“真离线”和“半离线”两种内网很多人把“没外网”一言蔽之但落地的物料准备完全是两码事。真离线环境指的是机器除了内网闸道之外没有任何出公网的通道。这种场景下不止 Docker Desktop 主程序连 WSL2 内核、Windows 功能组件、后续要用的所有容器镜像都得在外网机器上提前下载好用 U 盘或内部文件服务器搬进去。全部依赖都要当成“离线包裹”看待缺一个就卡一道。半离线环境稍微友好一些机器虽然不能直接访问公网但存在公司自建的软件源、镜像仓库或白名单下载通道。比如能用内部代理访问微软更新服务器或者内网已经搭好了 Harbor 仓库。这种情况下Docker Desktop 主体安装包可能还得手动拿但 WSL2 内核这类系统组件可以走系统更新通道镜像也能从内网 registry 拉取压力小很多。还有一个容易忽视的点既不真离线也非半离线的“假内网”——网络策略限制域名白名单docker.com 和 github 封了但普通网页能开。这种环境最烦人表面像有网实际安装时下载组件必失败。所以我建议现场动手之前先在目标机器上把“哪些域名通、哪些全挂”测清楚别等装一半才发现访问被拦。1.2 虚拟化、系统版本、架构三项自查清单Docker Desktop 在 Windows 上默认依赖 WSL2 后端或者传统 Hyper-V 后端。无论哪个都需要 CPU 虚拟化支持并且 Windows 相关功能必须开启。这一步没做好后面就是那一串眼熟的报错virtualisation support wasn‘t detected、virtual machine platform not enabled。自查顺序建议如下系统版本按 WinR 输入 winver确认系统为 Windows 10 2004 及以上或 Windows 11。低于这个版本WSL2 支持不完整。CPU 虚拟化任务管理器 → 性能 → CPU观察右下角“虚拟化”是否显示“已启用”。如果显示“已禁用”需要进 BIOS/UEFI 打开 Intel VT-x 或 AMD-V。Windows 功能按 WinR 输入 optionalfeatures确认“虚拟机平台”“适用于 Linux 的 Windows 子系统”“Windows 虚拟机监控程序平台”三项状态。默认可能未开启需要手动打开并重启。WSL 状态打开 PowerShell 执行 wsl --status看默认版本是否为 2。如果 WSL 本身没安装或内核版本过老后面 Docker Desktop 启动大概率会卡住。另外架构也有讲究。绝大多数办公机是 x86_64但有些 Windows Dev Kit 或其他 ARM 设备是 arm64。Docker Desktop 的离线安装包和镜像都区分架构导出导入镜像时如果混了平台docker load 虽能成功但容器运行起来马上报 exec format error。所以采购机子和下载安装包前先确认目标架构别下载错了浪费内网传输时间。2. 离线安装包准备没有外网时 Docker Desktop 的“搬运”方案2.1 在外网机器下载安装包与系统依赖Docker Desktop 官方安装包可以从 docs.docker.com/desktop/release-notes 的版本列表里找每个正式版本页面下方都提供了 Direct Download 入口文件名通常是 DockerDesktopInstaller.exe。这里我建议直接下载当前稳定版不要图新下 latest因为内网环境后期升级麻烦稳定版经过的验证最多坑最少。除了主安装包还有两样东西必须在有网的机器上提前备好。第一是 WSL2 内核更新包。新版 Docker Desktop 安装程序虽然会尝试自动处理 WSL但离线环境下这步大概率失败。提前从微软官网下载 wsl_update_x64.msi拷到内网机器上手动安装能避开“WSL is unresponsive”“WSL needs updating”这类问题。第二是准备容器镜像清单。这点很多人会忘记觉得先装好 Docker Desktop 再说结果环境起来了镜像拉不下来等于白装。正确做法是在外网机器上先规划好要用的镜像列表统一 docker pull 到本地再 docker save 成 tar 包带回去。具体操作我放到第 4 节详细讲。2.2 用安装脚本批量分发省去每台机器手工点选内网不是只装一台经常是实验室好几台机器都要配。如果每台都双击安装包、手动下一步费时还容易在配置上不一致。Docker Desktop 官方安装程序支持命令行静默安装实测下来非常稳定start /w DockerDesktopInstaller.exe install --quiet --accept-license --backendwsl-2用管理员身份打开 PowerShell 或 CMD执行上面这条命令即可。--backendwsl-2 明确指定使用 WSL2 后端避免安装程序自作主张选 Hyper-V。如果你的网络环境需要安装到特定目录可以在命令中追加 --installation-dirD:\Docker不过我个人不太建议改安装目录和默认路径相关的坑会比省下的磁盘空间更烦人。静默安装完成后系统会提示重启或不提示取决于是否启用了新的 Windows 功能。稳妥做法是执行完等两三分钟手动重启一次再继续启动 Docker Desktop。重启后先别急着打开界面用 wsl --status 确认 WSL2 默认版本正常再启动 Docker Desktop成功率会高很多。3. 内网环境下 Docker Desktop 的安装与配置实操3.1 安装过程全解析解压、装组件、首次启动双击安装包之后实际发生的事比表面复杂。Docker Desktop 安装程序会先把自己解压到临时目录然后安装主程序、注册 Windows 服务、准备后端运行环境。内网机器上最常失败的环节就是它在安装过程中尝试下载 WSL2 或其他在线组件。所以离线环境一定先把 WSL2 内核更新包手动装好再跑 Docker Desktop 安装程序等于把它的在线依赖提前“喂饱”。安装完成后桌面会出现 Docker Desktop 图标首次启动会经历一段“Docker Desktop starting”过程背后是在初始化 WSL 发行版和 Docker Engine。新版 Docker Desktop 在 4.30 之后首次启动会引导登录 Docker 账号。内网环境没有账号也没关系这个登录完全可以跳过Skip 掉之后功能不受影响。不要被“Sign in to try restoring access to Docker features”这类提示吓住那只是新版本的引导弹窗点跳过即可继续使用。如果首次启动后托盘鲸鱼图标一直转圈或者过几分钟提示 failed to start大概率不是安装包的问题而是后端组件没就绪。处理方法是先把 Windows 功能确认清单再过一遍然后执行 wsl --shutdown 重置 WSL 状态再重新启动 Docker Desktop。这个组合拳解决了我遇到的大多数首次启动失败问题。3.2 必改的三项配置daemon 镜像源、资源配额、WSL2 后端Docker Desktop 能打开不代表能顺畅用内网环境下最重要的配置集中在 Settings 里。第一项是 Docker Engine 的 daemon.json。点击托盘图标 → Settings → Docker Engine在配置编辑区添加 registry-mirrors 和 insecure-registries。如果你的内网有公司自建的镜像加速服务可以写成{ registry-mirrors: [https://docker.mirrors.inst.internal], insecure-registries: [registry.internal.lab:5000] }如果内网 registry 走的是 HTTP没有配 TLS 证书那 insecure-registries 这一段必须写否则 docker pull 或 docker login 会直接报证书错误。这里我特别提醒一句千万不要为了省事把 insecure-registries 写成 [0.0.0.0/0]这是把仓库安全全部交给网络策略保护内网也不该这么干风险太大。第二项是资源配额。Settings → Resources → Advanced 里可以调整 CPU、内存和 Swap。默认配置会吃掉不少内存办公开发机只有 16G 内存的话建议把 Docker 的内存限制在 4 到 6G留足系统运行空间。我在 8G 内存的老笔记本上把内存限到 3GDocker 跑两三个轻量容器还是够的但再往上就很吃力了。第三项是后端确认。Settings → General 里确保 “Use the WSL 2 based engine” 是勾选状态同时把 “Start Docker Desktop when you sign in” 按需关闭避免每次开机自动占资源。3.3 内网 registry 配置与镜像搬运细节内网如果能访问自建 Harbor 或 Registry先把环境配好可以让后续工作事半功倍。配置完成后在 PowerShell 里执行 docker login registry.internal.lab:5000输入账号密码。如果要拉取私有仓库的镜像docker pull registry.internal.lab:5000/team-a/my-service:v1.2。push 同理。这里有个细节私有仓库的镜像名必须带仓库地址前缀不带的话 Docker 会默认走 Docker Hub离线环境直接拉取失败。如果没有内网仓库那就只能老老实实走“外网打包、内网导入”的路线。我之前做过最极端的一次一个 agent 智能体项目整套依赖下来有 1.2GB 的镜像包U 盘拷进去速度还行但如果是几十台机器分发就要考虑在内网起一个临时文件服务器或者干脆搭个最小 registry 来当中转站。这些属于工程化选择按实际条件取舍即可。4. 用起来才叫“装好”内网跑第一个容器的完整流程4.1 离线加载镜像包的两种实用方式装好 Docker Desktop 后第一次拉镜像就会感受到内网的痛苦。所以预先在外网机器上准备好镜像包就显得格外重要。executor 的第一步是把镜像导出为 tar 文件。假设你在外网机器上已经拉好了镜像用 docker save 打包。单个镜像导出的命令是docker save -o my-service.tar my-service:v1.2如果镜像很多可以写个小循环把所有镜像导出到同一个目录for img in $(cat images-list.txt); do docker save -o $(echo $img | tr / _).tar $img doneimages-list.txt 里每行写一个完整的镜像名加标签比如 mysql:8.0、redis:7-alpine。导出的 tar 文件在拷贝之前建议再压一层 gzip能省不少传输时间gzip *.tar到内网机器后有两种加载方式。方式一直接用 docker load 加载单个镜像包docker load -i my-service.tar.gz方式二如果镜像包很多把解压后的 tar 文件放在同一目录写一个批量加载脚本for f in *.tar; do docker load -i $f done加载完成之后用 docker images 确认所有镜像都已经就位。这里有一个镜像 tag 很容易出错docker save 导出的 tag 是原样的docker load 回来也保留原 tag但如果你本身是在内网 registry 拉取流程里导出的tag 可能带着内网仓库地址前缀。加载后如果名称看着不对用 docker tag 重新打标签即可比如docker tag registry.internal.lab:5000/team-a/my-service:v1.2 my-service:v1.24.2 场景延伸内网搭建 agent 智能体和 Dify 工具链Docker Desktop 在内网场景中最大的价值之一就是为 agent 智能体开发和搭建本地工具链提供统一的容器运行环境。这两年做 agent 相关开发Dify、n8n、anythingllm 这类项目几乎离不开 docker compose 一键拉起。它们的共同特征是镜像依赖多。以 Dify 为例一套 docker-compose 下来涉及 Dockerfile 构建、nginx、postgres、redis、weaviate、sandbox 等近十个镜像。真离线环境下把这些镜像一个不落全导出再导入工作量不小而且很容易漏。我的做法是在外网机器上先把 docker-compose.yaml 拉下来执行 docker compose pull把所有依赖镜像提前拉到本地。然后用 docker compose images 查看当前项目关联的镜像列表再写脚本批量 docker save。这样能保证镜像清单和项目版本完全匹配不会漏掉某个中间件。到了内网机器上把之前的 tar 包 docker load 进去然后直接用同一份 docker-compose.yaml 执行 docker compose up -d。只要镜像版本一致容器起来基本不用改配置。这个流程我实测跑通过 Dify 单机版内网部署核心就是“提前把镜像清单导干净”。5. 高频报错排查虚拟化、WSL 卡死、启动失败集中讲解5.1 “Virtualization support not detected” 的完整解决路径这个报错是 Docker Desktop 内网安装的高频第一名。新版界面会提示 “Docker Desktop failed to start because virtualisation support wasn‘t detected”中文社区里很多人都卡在这句话上。先说原因。Docker Desktop 检测不到虚拟化支持有几种情况BIOS 里虚拟化被关掉了Windows 的“虚拟机平台”功能没启用甚至有些机器开了 Hyper-V 但没开“Windows 虚拟机监控程序平台”也会被误判。最坑的一种是目标机器本身是一台虚拟机比如 VMware Workstation 里的 Windows必须在宿主机的虚拟机设置里开启“虚拟化 Intel VT-x/AMD-V”嵌套虚拟化否则这里永远报错。解决步骤按顺序来重启进 BIOS找到 Intel Virtualization Technology 或 SVM Mode设为 Enabled。不同厂商 BIOS 菜单差异大但关键字就是 Virtualization 或 SVM。进入 Windows 后用管理员 PowerShell 依次启用三个功能并重启dism.exe /online /enable-feature /featurename:Microsoft-Windows-Subsystem-Linux /all /norestart dism.exe /online /enable-feature /featurename:VirtualMachinePlatform /all /norestart dism.exe /online /enable-feature /featurename:HypervisorPlatform /all /norestart重启后执行 wsl --set-default-version 2再启动 Docker Desktop。这个流程走完绝大多数 virtualisation support not detected 都能解决。如果还不认那就是机器实在太老或者 CPU 型号压根不支持虚拟化只能换机器了。5.2 WSL 相关报错排查清单WSL 问题排在报错榜第二多半出现在 Windows 11 或者系统更新之后。几个典型报错“WSL is unresponsive”先用 wsl --shutdown 强制停止所有 WSL 实例再执行 wsl --status 看状态。如果状态正常重新打开 Docker Desktop。如果 wsl 命令本身卡死在服务管理器里重启 “LxssManager” 服务这个服务管着所有 WSL 发行版。“WSL needs updating”说明 WSL 内核太老。在线环境直接 wsl --update离线环境手动安装之前下载好的 wsl_update_x64.msi然后 wsl --shutdown 再重启。“WSL 2 requires an update”这类提示本质也是内核版本问题。装完更新包后最好在 PowerShell 里执行一下 wsl --version确认 WSL 版本在 1.0.0 以上。新版 Docker Desktop 对 WSL 版本要求比较高太老的内核可能在启动 Docker 时静默失败不报错但就是起不来。5.3 常见问题速查表我把内网环境下另外几个高频问题整理成一张表方便现场对照现象常见原因解决方法Docker Desktop 图标一直转圈无法启动后端组件未就绪或 Docker 服务卡死wsl --shutdown重启 LxssManager 服务再启动 Docker Desktop提示 docker 服务启动失败日志里有 pipe errorWindows 容器和 Linux 容器后端冲突切换 Linux containers在 Settings 里确认 WSL2 后端docker pull 超时或无法连接无外网且未配置内网镜像源配置 registry-mirrors改用 docker load 加载镜像包只能装在 C 盘吗默认安装路径在 C 盘安装时指定 --installation-dir数据目录可在 Settings 中调整界面是英文能汉化吗官方无中文不建议使用汉化补丁参照文档核对设置项内存占用过高电脑卡顿Docker 默认资源配额过大Settings → Resources 中降低内存和 CPU 配额容器启动报 exec format error镜像平台与宿主机架构不匹配重新导出 arm64 或 amd64 对应平台的镜像这表里的每一条我都亲眼见过至少一次。尤其“只能装 C 盘吗”这个问题经常在磁盘紧张的内网机器上被反复问。实际上安装目录可以通过命令行指定数据目录 Docker Desktop 4.x 之后的版本也在 Resources 里提供了修改入口不需要靠 mklink 硬链接折腾。有一点必须提醒Docker Desktop 的登录引导界面和 telemetry 遥测功能在内网环境可能会造成困扰。关掉遥测的方法是Settings → General → uncheck “Send usage statistics”。这不仅能减少无谓的本地资源占用也避免它反复尝试连接外网导致界面假死。6. 我踩过的几个坑和最终建议内网环境装工具最怕的不是缺包而是不知道缺什么包。我吃过最大的一次亏是帮同伴装完 Docker Desktop 后兴高采烈跑 docker run结果发现还缺一个 WSL 内核更新包重新折腾了半个多小时。那次之后我养成了一个习惯每次内网部署前先列一份“安装物料清单”包括系统版本、Docker Desktop 安装包版本、WSL2 内核包、目标架构、镜像清单、daemon.json 配置。这份清单随 U 盘一起走到现场照着执行基本不会漏项。最后分享一个能提升效率的小技巧内网环境如果有多台机器要统一配置与其一台台手动在 Settings 里点不如直接把 daemon.json 文件分发到每台机器的 Docker Desktop 配置目录再统一导入。Windows 上 Docker Engine 的配置路径在 %UserProfile%.docker\daemon.json只要确保 JSON 格式正确导入后重启 Docker Desktop 即可。这样整个实验室的 Docker 环境能达到完全一致的配置后续排查问题会轻松很多。这些经验都是我实际踩坑踩出来的。内网环境没有标准答案环境越高危越要在准备阶段把功课做足。希望这篇能让你少走几段弯路。