8.4. Docker DNS

docker run -d --network appnet --name pg-primary --network-alias db postgres:17-alpine

docker run -d --network appnet --network-alias api --name api-1 myapp
docker run -d --network appnet --network-alias api --name api-2 myapp

nameserver 127.0.0.11
options ndots:0

docker run --dns 8.8.8.8 --dns-search corp.example.com --dns-option ndots:1 ...

mkdir -p /tmp/dnstest && cd /tmp/dnstest

cat > dnscheck.py <<'PY'
"""Диагностика разрешения имён средствами стандартной библиотеки."""
from __future__ import annotations

import socket
import sys


def resolve(name: str) -> None:
    print(f"  {name}:")
    try:
        infos = socket.getaddrinfo(name, None, family=socket.AF_INET,
                                   type=socket.SOCK_STREAM)
    except socket.gaierror as exc:
        print(f"    ✗ не разрешается: {exc.strerror} (errno {exc.errno})")
        return
    addrs = sorted({info[4][0] for info in infos})
    for a in addrs:
        print(f"    → {a}")


def connect(name: str, port: int, timeout: float = 3.0) -> None:
    s = socket.socket()
    s.settimeout(timeout)
    try:
        s.connect((name, port))
        print(f"    порт {port}: соединение установлено")
    except socket.gaierror:
        print(f"    порт {port}: имя не разрешается")
    except ConnectionRefusedError:
        print(f"    порт {port}: отказ (хост есть, порт закрыт)")
    except OSError as exc:
        print(f"    порт {port}: {type(exc).__name__}")
    finally:
        s.close()


if __name__ == "__main__":
    print("  resolv.conf:")
    with open("/etc/resolv.conf") as f:
        for line in f:
            if line.strip() and not line.startswith("#"):
                print(f"    {line.rstrip()}")
    print()
    for arg in sys.argv[1:]:
        if ":" in arg:
            host, port = arg.rsplit(":", 1)
            resolve(host)
            connect(host, int(port))
        else:
            resolve(arg)
PY

docker network create dnsnet > /dev/null
docker run -d --network dnsnet --name web python:3.13-slim \
    python -m http.server 8000 --bind 0.0.0.0 > /dev/null
docker run -d --network dnsnet --name client \
    -v "$PWD/dnscheck.py:/dnscheck.py:ro" python:3.13-slim sleep 600 > /dev/null
sleep 3

docker exec client python /dnscheck.py web:8000 nonexistent example.com

  resolv.conf:
    nameserver 127.0.0.11
    options ndots:0

  web:
    → 172.23.0.2
    порт 8000: соединение установлено
  nonexistent:
    ✗ не разрешается: Name or service not known (errno -2)
  example.com:
    → 93.184.215.14

echo "═══ из container ═══"
docker exec client python -c "
import socket
s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.settimeout(2)
try:
    s.connect(('127.0.0.11', 53))
    print('  ✓ резолвер доступен')
except OSError as e:
    print('  ✗', e)
"

echo "═══ с host ═══"
timeout 3 python3 -c "
import socket
s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.settimeout(2)
s.sendto(b'\x00', ('127.0.0.11', 53))
try:
    s.recvfrom(512)
    print('  резолвер отвечает')
except OSError as e:
    print('  ✗ с host недоступен:', type(e).__name__)
" 2>/dev/null || echo "  ✗ с host недоступен"

echo "═══ правило перенаправления внутри namespace ═══"
pid="$(docker inspect -f '{{.State.Pid}}' client)"
sudo nsenter -t "$pid" -n iptables -t nat -S 2>/dev/null | grep '127.0.0.11' | head -3 | sed 's/^/  /'

═══ из container ═══
  ✓ резолвер доступен
═══ с host ═══
  ✗ с host недоступен
═══ правило перенаправления внутри namespace ═══
  -A DOCKER_OUTPUT -d 127.0.0.11/32 -p udp -m udp --dport 53 -j DNAT --to-destination 127.0.0.11:37241
  -A DOCKER_POSTROUTING -s 127.0.0.11/32 -p udp -m udp --sport 37241 -j SNAT --to-source :53

docker run -d --network dnsnet --name pg-primary --network-alias db \
    --network-alias database -e POSTGRES_PASSWORD=x postgres:17-alpine > /dev/null
sleep 8

docker exec client python /dnscheck.py pg-primary db database

  resolv.conf:
    nameserver 127.0.0.11
    options ndots:0

  pg-primary:
    → 172.23.0.4
  db:
    → 172.23.0.4
  database:
    → 172.23.0.4

for n in 1 2 3; do
    docker run -d --network dnsnet --name "api-$n" --network-alias api \
        python:3.13-slim sleep 600 > /dev/null
done
sleep 3

echo "═══ сколько адресов возвращает имя api ═══"
docker exec client python -c "
import socket
infos = socket.getaddrinfo('api', None, family=socket.AF_INET)
addrs = sorted({i[4][0] for i in infos})
print(f'  адресов: {len(addrs)}')
for a in addrs:
    print(f'    {a}')
"

echo "═══ порядок между запросами ═══"
for _ in 1 2 3 4; do
    docker exec client python -c "
import socket
print('   ', socket.gethostbyname('api'))
"
done

echo "═══ соответствие адресов container'ам ═══"
for n in 1 2 3; do
    printf '  api-%s: %s\n' "$n" \
        "$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' "api-$n")"
done

═══ сколько адресов возвращает имя api ═══
  адресов: 3
    172.23.0.5
    172.23.0.6
    172.23.0.7
═══ порядок между запросами ═══
    172.23.0.6
    172.23.0.7
    172.23.0.5
    172.23.0.6
═══ соответствие адресов container'ам ═══
  api-1: 172.23.0.5
  api-2: 172.23.0.6
  api-3: 172.23.0.7

docker stop api-2 > /dev/null
sleep 2
echo "═══ после остановки api-2 ═══"
docker exec client python -c "
import socket
addrs = sorted({i[4][0] for i in socket.getaddrinfo('api', None, family=socket.AF_INET)})
print(f'  адресов: {len(addrs)}: {addrs}')
"
docker start api-2 > /dev/null
sleep 2

═══ после остановки api-2 ═══
  адресов: 2: ['172.23.0.5', '172.23.0.7']

echo "═══ адрес web сейчас ═══"
old="$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' web)"
echo "  $old"

echo "═══ занимаем следующий адрес и пересоздаём web ═══"
docker run -d --network dnsnet --name filler python:3.13-slim sleep 600 > /dev/null
docker rm -f web > /dev/null
docker run -d --network dnsnet --name web python:3.13-slim \
    python -m http.server 8000 --bind 0.0.0.0 > /dev/null
sleep 3

new="$(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' web)"
printf '  было: %s  стало: %s\n' "$old" "$new"

echo "═══ DNS отдаёт новый адрес немедленно ═══"
docker exec client python -c "
import socket
print('  разрешение web →', socket.gethostbyname('web'))
"

echo "═══ но приложение, разрешившее имя однажды, — нет ═══"
docker exec client python -c "
import socket, urllib.request

# ТАК ДЕЛАТЬ НЕ НУЖНО: адрес зафиксирован при старте
resolved_once = '$old'
try:
    urllib.request.urlopen(f'http://{resolved_once}:8000/', timeout=3)
    print('  по старому адресу: ответ получен')
except Exception as e:
    print(f'  по старому адресу: {type(e).__name__} — сервис «недоступен»')

# ТАК ПРАВИЛЬНО: имя разрешается при каждом обращении
print('  по имени:', urllib.request.urlopen('http://web:8000/', timeout=3).status)
"

═══ адрес web сейчас ═══
  172.23.0.2
═══ занимаем следующий адрес и пересоздаём web ═══
  было: 172.23.0.2  стало: 172.23.0.8
═══ DNS отдаёт новый адрес немедленно ═══
  разрешение web → 172.23.0.8
═══ но приложение, разрешившее имя однажды, — нет ═══
  по старому адресу: timeout — сервис «недоступен»
  по имени: 200

docker network create othernet > /dev/null
docker run -d --network othernet --name outsider \
    -v "$PWD/dnscheck.py:/dnscheck.py:ro" python:3.13-slim sleep 600 > /dev/null
sleep 2

echo "═══ container из другой сети ═══"
docker exec outsider python /dnscheck.py web:8000

echo "═══ подключаем его к dnsnet ═══"
docker network connect dnsnet outsider
sleep 2
docker exec outsider python /dnscheck.py web:8000

═══ container из другой сети ═══
  resolv.conf:
    nameserver 127.0.0.11
    options ndots:0

  web:
    ✗ не разрешается: Name or service not known (errno -2)
    порт 8000: имя не разрешается
═══ подключаем его к dnsnet ═══
  resolv.conf:
    nameserver 127.0.0.11
    options ndots:0

  web:
    → 172.23.0.8
    порт 8000: соединение установлено

echo "═══ resolv.conf по умолчанию ═══"
docker run --rm --network dnsnet python:3.13-slim cat /etc/resolv.conf | sed 's/^/  /'

echo "═══ с явным --dns и --dns-search ═══"
docker run --rm --network dnsnet --dns 1.1.1.1 --dns-search corp.example.com \
    --dns-option ndots:2 python:3.13-slim cat /etc/resolv.conf | sed 's/^/  /'

echo "═══ в default bridge (без user-defined сети) ═══"
docker run --rm python:3.13-slim cat /etc/resolv.conf | sed 's/^/  /'

═══ resolv.conf по умолчанию ═══
  nameserver 127.0.0.11
  options ndots:0
═══ с явным --dns и --dns-search ═══
  nameserver 127.0.0.11
  search corp.example.com
  options ndots:2
═══ в default bridge (без user-defined сети) ═══
  nameserver 127.0.0.11
  options ndots:0

docker rm -f web client pg-primary api-1 api-2 api-3 filler outsider > /dev/null 2>&1
docker network rm dnsnet othernet > /dev/null 2>&1
cd /tmp && rm -rf /tmp/dnstest

docker network create dcheck > /dev/null
docker run -d --network dcheck --name svc --network-alias myalias alpine:3.21 sleep 60 > /dev/null
docker run --rm --network dcheck alpine:3.21 sh -c 'getent hosts svc; getent hosts myalias'
docker rm -f svc > /dev/null; docker network rm dcheck > /dev/null