quiq/dnsmasq

dnsmasq Docker镜像文档

镜像概述

本镜像是基于Alpine Linux 3.13构建的轻量级dnsmasq容器，旨在提供安全、高效的DNS和DHCP服务。镜像采用最小化设计，仅包含运行dnsmasq所需的核心组件，并通过Notary进行签名以确保完整性和安全性。

核心功能与特性

• 最小化基础：基于Alpine Linux，镜像体积小，资源占用低
• 安全验证：镜像使用Notary签名，支持Docker内容信任机制验证
• 灵活配置：支持通过命令行参数或配置文件自定义dnsmasq行为
• 安全运行：可配置为只读容器模式，增强运行时安全性

使用场景

• 本地网络DNS服务器部署
• 开发/测试环境轻量级DNS解析服务
• 边缘计算设备DNS服务
• 需要镜像完整性验证的安全部署场景

使用方法与配置说明

拉取镜像（带签名验证）

启用Docker内容信任机制拉取经过签名的镜像：

bash
export DOCKER_CONTENT_TRUST=1
docker pull quiq/dnsmasq:2.84-r0

运行容器

基础运行示例

bash
docker run -d \
  --name dnsmasq \
  --network host \
  --cap-add NET_ADMIN \
  --read-only \
  -v /opt/dnsmasq/dnsmasq.hosts:/etc/dnsmasq.hosts:ro \
  quiq/dnsmasq:2.84-r0 \
  --except-interface=lo --bind-interfaces --log-facility=- -q --pid-file --no-resolv -H /etc/dnsmasq.hosts

参数说明

• --network host：使用主机网络模式，确保dnsmasq能正确监听网络接口
• --cap-add NET_ADMIN：添加网络管理权限，允许dnsmasq进行网络配置
• --read-only：以只读模式运行容器，增强安全性
• -v /opt/dnsmasq/dnsmasq.hosts:/etc/dnsmasq.hosts:ro：挂载本地hosts文件（只读）
• 命令行参数：
  • --except-interface=lo：排除回环接口
  • --bind-interfaces：绑定指定网络接口
  • --log-facility=-：日志输出到标准输出
  • -q：安静模式，减少日志输出
  • --pid-file：不创建PID文件
  • --no-resolv：不使用系统默认resolver
  • -H /etc/dnsmasq.hosts：指定自定义hosts文件路径

Ansible部署示例

以下Ansible任务可用于验证镜像签名并以只读模式运行容器：

yaml
- set_fact:
    dnsmasq_version: 2.84-r0

- name: 拉取带签名验证的Docker镜像
  command: docker pull {{ item }}
  with_items:
    - quiq/dnsmasq:{{ dnsmasq_version }}
  environment:
    DOCKER_CONTENT_TRUST: 1
  register: docker_pull
  changed_when: '"Downloaded newer image" in docker_pull.stdout'

- name: 启动dnsmasq容器
  docker_container:
    name: dnsmasq
    labels: {"name": "dnsmasq"}
    image: quiq/dnsmasq:{{ dnsmasq_version }}
    command: --except-interface=lo --bind-interfaces --log-facility=- -q --pid-file --no-resolv -H /etc/dnsmasq.hosts
    state: started
    restart_policy: always
    network_mode: host
    capabilities: NET_ADMIN
    read_only: True
    volumes:
      - /opt/dnsmasq/dnsmasq.hosts:/etc/dnsmasq.hosts:ro