专属域名

专属域名

专属域名是与账号绑定的独立镜像加速地址，支持免登录拉取，适合服务器、CI/CD 流水线和不方便执行登录命令的环境。通过专属域名拉取会消耗域名所属账号的资源包或余额。

请妥善保管专属域名。建议按实际访问来源配置 IP 白名单；固定 IPv6 后缀只能用于访问过滤，不能代替身份认证。

打开专属域名管理

1. 创建专属域名

点击 新增域名，依次选择加速源、域名后缀和有效期。

• 加速源：一个专属域名只对应一个上游仓库。未带仓库域名的 Docker Hub 镜像通常选择 docker.io；ghcr.io/xxx、registry.k8s.io/xxx 等镜像应选择相同名称的源。
• 域名后缀：目前使用 d.1ms.run。
• 有效期：可选择永久有效或指定截止时间。超过有效期后，该域名不能继续使用付费加速。

当前支持 docker.io、gcr.io、ghcr.io、nvcr.io、quay.io、registry.k8s.io、mcr.microsoft.com 和 docker.elastic.co。

确认配置后点击 创建域名。创建成功页面会显示域名、加速源、有效期、域名后缀、状态以及带 https:// 的使用地址。

如果希望一次生成所有受支持镜像源的默认域名，可以在管理页点击 初始化域名。已经存在的源不会重复创建。

2. 复制并使用域名

点击域名右侧的 复制，可以按使用场景选择：

• 不带协议：例如 yourdomain.d.1ms.run，适合只接收主机名的配置项。
• 带协议：例如 https://yourdomain.d.1ms.run，适合 Docker 镜像加速地址等需要完整 URL 的配置项。

以 docker.io 专属域名为例，可将带协议地址配置为 Docker 的镜像加速地址：

{
  "registry-mirrors": [
    "https://yourdomain.d.1ms.run"
  ]
}

保存 Docker 配置并重启 Docker 服务后生效。配置为 Docker Hub 镜像源后，仍然可以使用不带毫秒镜像前缀的拉取命令：

docker pull nginx:latest

专属域名支持免登录拉取。其他镜像源请使用与镜像原始仓库一致的专属域名，并按所用客户端支持的自定义仓库或镜像源方式配置。

3. 管理专属域名

每个域名卡片会显示当前加速源、有效期、IP 白名单、备注和运行状态。

• IP 白名单：限制允许访问该域名的来源 IP。
• 备注：为域名添加用途说明，便于区分服务器或业务。
• 资源不足转免费：开启后，资源包或余额不足时切换到免费加速；关闭时会拒绝签发 Token 并返回 403。
• 暂停/启用：临时控制域名是否可用。
• 修改：调整域名有效期。
• 删除：永久删除该专属域名。

4. 设置 IP 白名单

点击卡片中的 点击设置 打开白名单弹窗。留空表示放行所有来源；多条规则按 OR 关系匹配，任一规则命中即可访问。

支持以下三类规则：

1. 精确 IP：203.0.113.10 或 2001:db8::10
2. CIDR 前缀：203.0.113.0/24 或 2001:db8::/32
3. 任意位掩码：::6fff:7fff:8fff:9fff/::ffff:ffff:ffff:ffff

任意位掩码按照下面的语义匹配：

(clientIP & mask) == (configuredIP & mask)

上面的 IPv6 示例固定低 64 位，允许前缀不同但后缀相同的 IPv6 地址访问。IPv4 和 IPv6 地址必须与掩码属于同一地址族。

填写规则时请注意：

• 推荐一行填写一条规则。
• 也可以粘贴使用英文逗号分隔的内容；英文逗号、LF、CRLF 或混合分隔均可识别。
• 连续分隔符、空行及规则两侧空格会被忽略。
• /64 等数字后缀始终是 CIDR 前缀长度，不表示固定 IPv6 后缀。
• 非连续掩码有效；全零掩码会放行对应地址族的所有 IP，但不会跨 IPv4/IPv6 地址族。
• 白名单适合限制网络来源，不应作为用户身份认证手段。

5. 常见问题

• 拉取返回 403：检查域名是否暂停或过期、来源 IP 是否命中白名单、资源包或余额是否充足，以及“资源不足转免费”是否开启。
• 镜像源不匹配：确认专属域名对应的源与镜像原始仓库一致。例如 ghcr.io/xxx 应使用 ghcr.io 专属域名。
• 修改白名单后无法访问：先确认客户端实际对外 IP，再检查地址族、CIDR 前缀或任意位掩码是否填写正确。
• 不再使用域名：可以先暂停验证业务无影响，再执行删除。删除后原域名不可恢复。