4. Registry 网络优化：TLS 终止、CDN 加速、GeoDNS 多区域路由配置

镜像拉取性能的瓶颈往往不在节点本地，而在于从容器运行时到远端 Registry 之间的网络链路。本章聚焦 Registry 侧的网络优化，通过 TLS 终止卸载、CDN 静态分发、GeoDNS 智能路由三层手段，将镜像层下载延迟从秒级压缩到毫秒级。

4.1 优化全景：三层网络加速模型

下图展示了从容器节点到后端存储的完整网络路径，以及每一层对应的优化技术。

4.2 TLS 终止：卸载加密计算，复用连接

容器运行时与 Registry 之间的 HTTPS 连接每次拉取都需要完整的 TLS 1.3 握手（1-RTT），在大规模并发拉取场景下，后端服务的 CPU 开销和连接建立延迟非常可观。TLS 终止的核心思路是在反向代理层提前解密，将后端通信降级为 HTTP 或内部 mTLS。

4.2.1 架构位置与收益

4.2.2 Nginx 终止配置示例

# /etc/nginx/conf.d/registry-tls-termination.conf
upstream registry_backend {
    server 10.0.1.10:5000 weight=5 max_fails=3 fail_timeout=30s;
    server 10.0.1.11:5000 weight=5 max_fails=3 fail_timeout=30s;
    keepalive 32;  # 保持长连接池
}

server {
    listen 443 ssl http2;
    server_name registry.example.com;

    ssl_certificate     /etc/nginx/certs/registry.crt;
    ssl_certificate_key /etc/nginx/certs/registry.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;

    # 向后端转发 HTTP（已终止 TLS）
    location /v2/ {
        proxy_pass http://registry_backend;
        proxy_http_version 1.1;
        proxy_set_header Connection "";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;

        # 缓存 blob 层数据
        proxy_cache registry_cache;
        proxy_cache_key "$uri";
        proxy_cache_valid 200 1h;
        proxy_cache_use_stale error timeout updating;
    }
}

4.3 CDN 加速：将镜像层缓存到边缘节点

镜像拉取的核心负载是 Blob 层（Layer）的下载，这些数据是静态、不可变的，天然适合 CDN 缓存。通过将 Registry 的 /v2/<name>/blobs/ 路径指向 CDN 源站，容器节点可以从最近的边缘节点拉取层数据，延迟降低 60-90%。

4.3.1 CDN 缓存策略对比

4.3.2 典型 CDN 回源配置（以 CloudFront 为例）

# 源站配置：指向 TLS 终止代理
Origin Domain: registry-termination-proxy.internal
Origin Protocol: HTTP (port 5000)

# 缓存行为
Path Pattern: /v2/*/blobs/*
  - Cache Policy: CachingOptimized
  - TTL: 7 days
  - Query String: none
  - Cookies: none

Path Pattern: /v2/*/manifests/*
  - Cache Policy: CachingDisabled (或 TTL=5min)
  - 启用 ETag 校验
  - 允许转发 Authorization Header

# 自定义错误响应
Error Caching: 启用 404/503 缓存 5 秒，避免雪崩

4.4 GeoDNS 多区域路由：就近接入，自动容灾

GeoDNS 根据容器节点的地理位置或网络延迟，将 DNS 解析结果指向最近的 Registry 实例或 CDN 入口。结合健康检查，当某个区域不可用时自动切换到其他区域，实现多活架构。

4.4.1 路由策略对比

4.4.2 AWS Route53 多区域配置示例

# 假设三个区域：美东 (us-east-1)、欧洲 (eu-west-1)、亚太 (ap-southeast-1)
# 每个区域部署独立的 Registry 集群 + TLS 终止 + CDN 入口

# 1. 创建健康检查（Health Check）
us-east-1:  https://registry-us-east.example.com/healthz
eu-west-1:  https://registry-eu-west.example.com/healthz
ap-southeast-1: https://registry-ap-southeast.example.com/healthz

# 2. 创建延迟路由记录（Latency Routing）
Type: A
Name: registry.example.com
Region: us-east-1
Value: 203.0.113.10   (CDN 入口 IP)
Set ID: us-east-1
Health Check: us-east-1

Region: eu-west-1
Value: 198.51.100.20
Set ID: eu-west-1
Health Check: eu-west-1

Region: ap-southeast-1
Value: 192.0.2.30
Set ID: ap-southeast-1
Health Check: ap-southeast-1

# 3. 设置 TTL = 10 秒（快速故障切换）
TTL: 10

4.4.3 多区域路由流程图

4.5 三层优化综合效果

将 TLS 终止、CDN 加速、GeoDNS 路由三层叠加后，从容器节点到 Registry 的端到端延迟可压缩至理想状态：