在容器化部署中，域名解析是保证服务互通的基础能力。当容器需要访问只在企业内部网络可用的私有域名，或者希望对解析请求做精细化管控时，默认的Docker DNS继承机制往往不能满足需求。docker run 命令提供的 --dns 参数，就是专门用来在容器创建阶段指定DNS服务器的手段，它直接决定容器内 /etc/resolv.conf 文件里的 nameserver 记录。
--dns 参数的基本用法与配置机制
最简单的形式是在 docker run 后面跟上 --dns 加 IP 地址，例如 docker run --dns 192.168.1.53 alpine。这个命令启动的 alpine 容器里，/etc/resolv.conf 不会继承宿主机的 DNS，而是只有一行 nameserver 192.168.1.53。如果需要配置多个DNS做冗余，可以重复写多次 --dns，Docker 会按顺序把它们都写进 resolv.conf，Linux 系统解析器会依次尝试。
从实现原理看，Docker 在调用容器运行时（如 runc）创建容器文件系统之前，会根据命令行参数生成一个临时 resolv.conf 内容，并挂载到容器的 /etc/resolv.conf 路径上，覆盖镜像里自带的或者继承自宿主的版本。这就意味着在容器内部手动修改这个文件，在容器重启后就会失效，因为配置源头在 docker run 的参数里。同时 --dns 只影响 DNS 服务器地址，不影响搜索域，搜索域要用 --dns-search 来指定。
下面是一个同时配置主备DNS和搜索域的例子，这样可以让容器在解析短主机名时自动补上公司内网后缀：
docker run -it --rm --dns 10.0.0.2 --dns 10.0.0.3 --dns-search corp.local alpine cat /etc/resolv.conf
执行后看到的文件内容类似如下，其中 nameserver 顺序与命令行一致，search 域也被正确写入。这种显式声明方式比依赖宿主机网络稳定，尤其适用于 CI 环境或跨云迁移场景。
与全局配置及编排工具的优先级对比
除了单次运行指定，Docker 守护进程本身也有 DNS 相关的全局配置，写在 /etc/docker/daemon.json 里的 dns 字段。当 docker run 没有传 --dns 时，新建容器会采用 daemon.json 里的值；一旦命令行带了 --dns，它以最高优先级覆盖全局配置。这种层级关系让集群节点可以设一个通用默认值，而个别特殊容器又能单独定制。
在使用 docker-compose 编排时，服务定义下的 dns 字段等价于给每个容器传 --dns。它的优先级和命令行相同，都是高于 daemon.json。如果既在 compose 文件写了 dns，又在 run 时覆盖，那以最近一次显式指令为准。下表简要归纳了三种方式的优先次序：
| 配置方式 | 作用范围 | 优先级 |
|---|---|---|
| docker run --dns | 单个容器 | 最高 |
| compose dns 字段 | 编排内服务 | 高（等同 run） |
| daemon.json dns | 守护进程全局 | 默认兜底 |
了解这个优先级，有助于排查“明明配了DNS却不生效”的问题。常见误区是改了 daemon.json 却忘了已经存在的容器不会动态更新，必须重建容器才能拿到新配置。命令行参数则每次新建都明确，更适合临时调试。
典型故障排查与最佳实践
当容器报 getaddrinfo: Temporary failure in name resolution 时，第一步应进容器看 cat /etc/resolv.conf，确认 nameserver 是不是期望的 IP。有时候写了 --dns 8.8.8.8 但容器内还是宿主机地址，多半是因为命令写错位置，或者用了别名包装脚本把参数吞掉了。另外，若 DNS 服务器在容器网络不可达（比如用了 host 网络外的私网地址），解析也会超时。
生产环境建议把核心服务依赖的 DNS 写成 --dns 显式参数，或固化到 compose 文件中，避免不同宿主机 resolv.conf 差异引起“在我机器上好好的”问题。对于批量节点，可以在 daemon.json 统一设内网 DNS，再用 --dns 为需要公网解析的批处理容器单独指定公共DNS。示例如下，在 Java 应用容器里指定内网DNS并开启短域名搜索：
# 假设通过外部脚本启动： # docker run --dns 172.16.0.10 --dns-search biz.inner # -e JAVA_OPTS=-Djava.net.preferIPv4Stack=true # my-java-app:1.0 FROM openjdk:11 COPY app.jar /app.jar CMD ["sh","-c","java $JAVA_OPTS -jar /app.jar"]
最后要注意，--dns 接收的是 IPv4 或 IPv6 地址，不能写域名，否则 Docker 会报错。结合 --dns-opt 还能追加 resolv.conf 的 options 行，比如 --dns-opt ndots:2 来控制搜索行为。掌握这些细节，才能让容器网络既稳定又可控。
docker_rundns容器网络修改时间：2026-08-14 18:42:37