在 Debian 13 上装 Docker 时，容易把两个镜像源混在一起。APT 源决定安装包从哪里下载，registry mirror 决定 docker pull 去哪里拉镜像。安装成功后拉取仍然超时，通常要查的是后者。
确认系统并选 APT 源
. /etc/os-release
printf '%s %s\n' "$ID" "$VERSION_CODENAME"
dpkg --print-architecture
Debian 13 的代号是 trixie。下面以腾讯云大陆实例为例。其他环境可使用官方仓库 https://download.docker.com/linux/debian。已有 Docker 时，先检查现有软件包和容器，避免直接卸载。
docker_repo=https://mirrors.tencentyun.com/docker-ce/linux/debian
sudo apt update
sudo apt install -y ca-certificates curl
sudo install -d -m 0755 /etc/apt/keyrings
sudo curl -fsSL "$docker_repo/gpg" -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
. /etc/os-release
sudo tee /etc/apt/sources.list.d/docker.sources >/dev/null <<EOF
Types: deb
URIs: $docker_repo
Suites: $VERSION_CODENAME
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOF
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io \
docker-buildx-plugin docker-compose-plugin
docker compose version
用镜像站时，可在能直连 Docker 官方仓库的机器上下载官方公钥并比对 SHA-256。apt update 会校验仓库索引的签名。Compose 随插件安装，日常用 docker compose，原笔记里的独立二进制安装步骤可以省掉。
配置容器镜像加速
腾讯云内网实例可以把下面这项合并进 /etc/docker/daemon.json，保留已有字段。
{
"registry-mirrors": ["https://mirror.ccs.tencentyun.com"]
}
sudo dockerd --validate --config-file /etc/docker/daemon.json
sudo systemctl reload docker
sudo docker info --format '{{json .RegistryConfig.Mirrors}}'
sudo docker run --rm hello-world
看到镜像地址还不够，最后一步要真的下载并启动容器。如果只有某个第三方镜像失败，先查该镜像和标签是否在镜像站可用。腾讯云这个内网地址在其他网络不一定可用。