Portainer拉取模板被Unbound拦截报错500求助

问题本质 #

Portainer容器默认使用Docker内置DNS（127.0.0.11），该DNS会转发请求到宿主机配置的Pi-hole。但Pi-hole依赖Unbound提供解析服务，容器网络内的DNS请求可能因路由限制、Unbound访问控制规则等原因无法正常转发，最终导致解析超时。

解决方案 #

方案1：给Portainer指定独立DNS服务器 #

直接让Portainer绕过Docker内置DNS，使用公共DNS解析外部域名：

• 停止并删除现有Portainer容器（命令创建的容器适用）：

  docker stop portainer && docker rm portainer
  

• 重新创建容器时添加--dns参数：

  docker run -d -p 9000:9000 -p 8000:8000 --name portainer --restart=always -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data --dns 8.8.8.8 --dns 1.1.1.1 portainer/portainer-ce
  

• 若使用Docker Compose，在Portainer服务块中添加DNS配置：

  services:
    portainer:
      image: portainer/portainer-ce
      ports:
        - "9000:9000"
        - "8000:8000"
      volumes:
        - /var/run/docker.sock:/var/run/docker.sock
        - portainer_data:/data
      restart: always
      dns:
        - 8.8.8.8
        - 1.1.1.1
  volumes:
    portainer_data:
  

方案2：配置Unbound允许Docker网络访问 #

确保Unbound响应来自Docker容器网段的查询请求：

• 打开Unbound的配置文件（通常路径为/etc/unbound/unbound.conf.d/pi-hole.conf）
• 添加允许Docker子网访问的规则（根据实际Docker子网调整，示例为默认网段）：

  access-control: 172.17.0.0/16 allow
  access-control: 192.168.0.0/24 allow
  

• 重启Unbound容器：

  docker restart unbound
  

• 确认Pi-hole的DNS设置已指向Unbound的容器IP或宿主机本地IP，且宿主机DNS配置正确指向Pi-hole。

方案3：修改Docker全局DNS配置 #

调整Docker daemon的默认DNS，让所有容器直接使用Pi-hole作为DNS服务器：

• 创建或编辑/etc/docker/daemon.json文件：

  {
    "dns": ["你的Pi-hole容器IP", "8.8.8.8"]
  }
  

• 重启Docker服务：

  sudo systemctl restart docker
  

• 重启Portainer容器：

  docker restart portainer
  

验证方法 #

进入Portainer容器测试域名解析，确认是否正常：

docker exec -it portainer nslookup raw.githubusercontent.com

若返回正确的IP地址，说明配置生效，此时再尝试拉取Portainer模板即可。

内容的提问来源于stack exchange，提问作者Madriesen