在宿主机浏览器里配置天行IP后，Docker容器并不会自动跟着走代理。Docker至少有两条不同的流量路径：一条是Docker守护进程拉取镜像，另一条是容器内应用访问外部服务。很多“代理明明可用，容器却超时”的问题，都来自把这两条路径混在一起。下面以合法的开发、接口测试和企业运维为前提，说明HTTP与SOCKS5的接入思路。
先分清要代理哪一段
| 目标 | 配置位置 | 典型现象 |
|---|---|---|
| docker pull拉镜像 | Docker daemon服务 | 拉取镜像超时 |
| 构建阶段下载依赖 | docker build参数或构建环境 | RUN apt/npm失败 |
| 容器运行时访问 | 容器环境变量或应用配置 | 应用请求仍走本地出口 |
| 宿主机命令访问 | Shell或工具自身 | curl与容器结果不同 |
先用一句话写清需求，例如“只让某个测试容器访问授权API时走固定出口”，再选择最小范围配置。不要为了一个容器修改整台服务器的默认路由。
下单前确认协议与认证
从极跃圈天行IP当前入口详情页进入，注册对应字段使用blsj，再确认所购节点支持HTTP还是SOCKS5、采用用户名密码还是IP白名单、地址是否静态、端口是否固定。当前部分套餐优惠以实际订单为准，协议能力也不能仅凭产品名称推断。
容器运行时使用HTTP代理
许多命令行程序识别标准环境变量。可以在一次性测试容器中传入：
docker run --rm -e HTTP_PROXY="http://USER:PASS@HOST:PORT" -e HTTPS_PROXY="http://USER:PASS@HOST:PORT" -e NO_PROXY="localhost,127.0.0.1,.internal.example" curlimages/curl https://example.com
这里的HTTPS_PROXY通常表示“HTTPS请求通过HTTP CONNECT代理”，并不代表代理端点本身一定使用HTTPS。变量大小写兼容性因应用而异，有些程序需要同时设置小写形式。示例中的账号、密码、主机和端口必须替换，且不要把真实凭据提交到代码仓库。
SOCKS5要看应用是否原生支持
Docker不会把一个SOCKS5地址自动转换成HTTP_PROXY。容器里的curl可以使用--proxy socks5h://HOST:PORT，Python、Node.js或Java应用则需要相应代理库或客户端参数。socks5h中的“h”表示域名交给代理端解析，可减少本地DNS与代理出口不一致，但最终行为仍取决于客户端实现。
docker run --rm curlimages/curl --proxy "socks5h://USER:PASS@HOST:PORT" https://example.com
如果应用只认识HTTP_PROXY，就不能直接塞入SOCKS5地址期待生效，应使用应用支持的SOCKS配置，或在合规受控环境中部署明确的协议转换组件。
Compose里不要明文写长期凭据
测试时环境变量方便，生产环境应使用Docker secrets、受控环境文件或外部密钥系统，并限制文件权限。docker inspect、进程环境、CI日志和错误页面都可能暴露变量。节点密码泄露后应在平台侧轮换，而不是只删除本地文件。
NO_PROXY也要谨慎配置，过宽的域名后缀或网段可能让本应走代理的请求直连。修改后同时测试内网服务和外网出口。
镜像拉取代理是另一套配置
docker pull由守护进程发起，容器的HTTP_PROXY通常不影响它。Linux systemd环境常通过Docker服务的代理配置或官方支持的daemon配置完成，修改后需要重载服务并重启Docker。具体文件位置和语法随Docker版本及发行版变化，应查当前版本文档。
重启Docker可能中断正在运行的容器，操作前确认维护窗口和重启策略。不要为了拉取一个镜像就把业务容器全部暴露给未知代理。
为什么宿主机能用而容器不能用
- 容器里没有传入代理参数；
- 应用忽略系统环境变量；
- SOCKS5地址被误填到只支持HTTP的字段；
- 白名单只授权了错误的宿主机公网出口；
- 容器DNS无法解析代理主机或目标域名；
- IPv6直连导致检测结果与IPv4不同；
- 防火墙或云安全组限制了代理端口。
可先在同一容器内测试代理主机DNS、TCP端口、认证和目标请求，再看应用日志。不要只在宿主机浏览器查询IP。
从容器内部验证真实出口
使用两个以上可信查询端点对照IPv4、IPv6和DNS，并让实际业务程序发出一次可审计请求。测试代理断开时应用是停止、报错还是回退直连；需要固定出口的企业API应采用失败即阻断的策略，避免静默使用宿主机地址。
HTTP认证出现407时，可参考代理407认证排查。如果出口正确但域名解析仍暴露本地网络，则继续检查容器DNS和客户端的远端解析能力。
日志和合规边界
日志只记录连接阶段、状态码、耗时和脱敏节点标识，不打印完整代理URL。代理用于授权测试、接口白名单和企业运维时，也要遵守目标系统速率与访问规则，不以代理绕过身份、地域或安全控制。
结论
Docker接入天行IP的关键是把daemon拉取、构建下载和容器运行三种流量分开。HTTP代理可从环境变量起步，SOCKS5需要客户端明确支持；随后从容器内部验证IPv4、IPv6、DNS与断线回退。使用blsj注册及核对订单后，仍要以节点实际协议、认证和测试结果为准。
