在 docker 容器中部署 dnsmasq 作为本地 dns 缓存服务，可减少查询延迟、降低上游压力并加速内部服务解析；需配置缓存规则、上游 dns 和 search 域，通过 daemon.json 全局设置或 docker-compose 显式声明使业务容器默认使用该缓存。
在 docker 容器中配置本地 dns 缓存服务，核心目标是减少重复查询延迟、降低上游 dns 压力，并提升内部服务（如 mysql、redis、auth）的解析速度。这不是简单改几个 nameserver，而是要在容器网络中部署一个轻量、可信赖的缓存层——最常用且推荐的是 dnsmasq 或 coredns，运行在宿主机或独立容器中，供其他业务容器统一使用。
用独立容器部署 dnsmasq 作本地缓存
这是开发与中小规模生产环境最灵活的方式：不侵入宿主机系统，易于调试和更新。
- 准备 dnsmasq 配置文件（例如 dnsmasq.conf）：
address=/dev.company.local/127.0.0.1 # 强制内网域名走本机解析（配合 hosts 或 upstream）
server=/company.local/192.168.10.5 # 内网 DNS 作为上游，专解私有记录
server=/#/114.114.114.114 # 其他所有域名 fallback 到公共 DNS
cache-size=1000 # 启用 1000 条缓存项
no-resolv # 禁用读取 /etc/resolv.conf，完全由我们控制上游
- 启动缓存容器：
docker run -d \
--name dns-cache \
--restart=always \
-p 53:53/udp -p 53:53/tcp \
-v $(pwd)/dnsmasq.conf:/etc/dnsmasq.conf:ro \
-v /etc/hosts:/etc/hosts:ro \
--cap-add=NET_ADMIN \
andyshinn/dnsmasq:2.87
- 验证是否生效：
进任意业务容器：docker exec -it app sh，然后执行：
nslookup mysql.dev.company.local 172.17.0.1（假设 dnsmasq 容器 IP 是 172.17.0.1）
若返回正确 IP 且 time nslookup ... 显示毫秒级响应，说明缓存已就位。
让业务容器默认使用该本地缓存
避免每个容器都手动指定 --dns，推荐两种方式：
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 全局配置（推荐）：修改 /etc/docker/daemon.json，把本地缓存设为首选 DNS：
{
"dns": ["172.17.0.1", "114.114.114.114"],
"dns-search": ["dev.company.local", "company.local"]
}
保存后执行 sudo systemctl restart docker，此后所有新建容器都会自动使用该缓存服务。
- Compose 中显式声明（适合多环境隔离）：
在 docker-compose.yml 的服务下加：
services:
app:
image: nginx
dns: ["172.17.0.1"]
dns_search: ["dev.company.local"]
配合 search 域实现“短名秒解”
仅靠缓存不够，必须让 mysql 这类短名自动补全为 mysql.dev.company.local。关键在 search 域顺序：
- 把最高频的内网域放在 dns-search 第一位，例如 ["dev.company.local", "company.local"]
- 确保 dnsmasq 的 server= 规则精准匹配该域，避免泛匹配导致公网域名误查（如 google.com.company.local）
- 验证方法：在容器内执行 nslookup mysql，观察返回的 FQDN 是否是你期望的完整域名
为什么不直接用 127.0.0.11？
Docker 默认的 127.0.0.11 是内嵌 DNS，只做容器名发现（如 web、db），不缓存，也不支持自定义上游或 search 域策略。它无法解析 mysql.dev.company.local 这类非容器名的私有域名。所以必须绕过它，用你可控的缓存服务替代。
