Docker容器应优先使用内置DNS（127.0.0.11），它直查容器名映射表、毫秒级响应；禁用--dns/--dns-search避免覆盖默认配置，search域仅设最常用内网域（如dev.local），上游DNS只配可信内网地址（如192.168.10.5），确保nslookup web2等短名解析稳定在5ms内。
关键不是堆DNS服务器，而是让查询路径最短、命中最快。Docker内置DNS（127.0.0.11）本身已针对容器网络做了深度优化，盲目加公有DNS或改search域反而拖慢解析。
优先用好内置DNS，别绕路
Docker daemon自带的嵌入式DNS服务监听在127.0.0.11:53，所有同网络容器默认走这条路。它直接查内核维护的实时容器名映射表，毫秒级响应，无需转发。
- 确保容器没被覆盖resolv.conf：启动时不加
--dns或--dns-search，让它自动继承默认配置 - 验证是否生效：
docker exec -it 容器名 cat /etc/resolv.conf，第一行必须是nameserver 127.0.0.11 - 避免在
/etc/resolv.conf里写127.0.0.1或宿主机DNS——这些地址在容器网络中通常不可达
精准控制search域，减少无效尝试
search域决定短域名补全顺序。比如查db，系统会依次试db.dev.local、db.company.local……每轮失败都耗时1–3秒。
- 只设一个最常用search：如项目统一用
dev.local，就配--dns-search dev.local，别写多个 - 跨网络访问用FQDN：查
cache不行时，直接用cache.app-net（网络名），跳过search补全 -
docker-compose中写死：
dns_search: ["dev.local"]，避免每次手动传参
上游DNS只配可信内网地址
当查不到容器名时，内置DNS会转发给上游DNS。若上游是8.8.8.8，查api.dev.local必然超时；换成内网DNS（如192.168.10.5），10ms内返回NXDOMAIN，不卡住。
- 单容器调试：
docker run --dns 192.168.10.5 nginx - 团队统一配置：改
/etc/docker/daemon.json，加"dns": ["192.168.10.5"]，重启Docker - 严禁混搭：不要
--dns 192.168.10.5 --dns 8.8.8.8，第二个永远等超时才轮到
验证真实行为，别信配置写了没
写了dns_search不等于容器里真用了。必须进容器看实际/etc/resolv.conf，再用nslookup web2测延时。
- 查解析路径：
docker exec 容器名 nslookup -debug web2 127.0.0.11，看是否直连内置DNS - 测响应时间：
time docker exec 容器名 getent hosts web2，稳定在5ms内才算达标 - 对比异常值：如果
nslookup web2要800ms，但nslookup web2.dev.local只要5ms，说明search域配置错误或顺序不对
