内部アイデンティティ（DNS / NTP）の確立

設定ファイルとDockerfileを置く場所を作ります。

sudo mkdir -p /srv/containers/identity/build
sudo mkdir -p /srv/containers/identity/unbound
sudo mkdir -p /srv/containers/identity/chrony

sudo vi /srv/containers/identity/unbound/unbound.conf

以下の内容を貼り付けます。

server:
interface: 0.0.0.0
port: 53
do-ip4: yes
do-udp: yes
do-tcp: yes

# セキュリティ設定：SERVER内とループバック以外からの問い合わせは拒否
# ★172.16.1.0/24（DMZ）はここに書かない、というのが今回の設計判断です
access-control: 127.0.0.0/8 allow
access-control: 192.168.2.0/24 allow

# 内部ドメインの定義
local-zone: "home.local." static
local-data: "mgmt-server.home.local. IN A 192.168.2.3"

メモ：今後、他のコンテナ（Headscaleやmonitoringなど）が立ち上がるたびに、local-data: の行を1行ずつ追加していきます。書式は local-data: "ホスト名.home.local. IN A IPアドレス" です。

local-data: "mgmt-server.home.local.     IN A 192.168.2.3"
local-data: "macv0.home.local.          IN A 192.168.2.99"
local-data: "identity-dns.home.local.    IN A 192.168.2.11"
local-data: "monitoring.home.local.      IN A 192.168.2.12"
local-data: "headscale.home.local.       IN A 192.168.2.13"
local-data: "syslog.home.local.          IN A 192.168.2.14"
local-data: "loki.home.local.            IN A 192.168.2.15"
local-data: "idp.home.local.             IN A 192.168.2.16"
local-data: "openziti.home.local.        IN A 192.168.2.17"

sudo vi /srv/containers/identity/chrony/chrony.conf

以下の内容を貼り付けます。

# 同期先の日本標準時サーバー(NICT)
pool ntp.nict.jp iburst

# クライアントへの時刻提供を許可する範囲（SERVER内のみ）
# ★ここにも172.16.1.0/24は書きません
allow 192.168.2.0/24

# 時刻が大きくズレていた場合、起動直後3回までは一気に補正する
makestep 1.0 3

sudo vi /srv/containers/identity/build/Dockerfile

FROM docker.io/ubuntu:24.04
RUN apt-get update && \
    apt-get install -y --no-install-recommends unbound chrony && \
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*
COPY entrypoint.sh /entrypoint.sh
# COPY直後に、コンテナ内部でも確実に実行権限を付与する
# （ホスト側でchmod +x済みでも、ビルド環境によっては権限が引き継がれないことがあるため、
#   念のためここでも明示しておくと、どの環境でビルドしても確実に動作する）
RUN chmod +x /entrypoint.sh
EXPOSE 53/udp 53/tcp 123/udp
ENTRYPOINT ["/entrypoint.sh"]

ポイント：RUN apt-get install は「イメージのビルド時」に1回だけ実行されます。podman run のたびに実行される旧方式とは違い、ここで完成形がイメージとして固定されます。

sudo vi /srv/containers/identity/build/entrypoint.sh

#!/bin/bash
set -e
echo "[entrypoint] Unbound（DNS）を起動します..."
unbound -d -c /etc/unbound/unbound.conf &
UNBOUND_PID=$!

echo "[entrypoint] Chrony（NTP）を起動します..."
# -x: コンテナにはホストの時計を直接操作する権限がないため、その操作を無効化
chronyd -d -x -f /etc/chrony/chrony.conf &
CHRONY_PID=$!

# どちらかが異常終了したら、コンテナ全体も終了させる
# （DNSだけ死んでNTPだけ動き続ける「半死に状態」を防ぐため）
wait -n "$UNBOUND_PID" "$CHRONY_PID"
EXIT_CODE=$?
echo "[entrypoint] プロセスが終了しました（exit code: $EXIT_CODE）。コンテナを終了します。"
exit "$EXIT_CODE"

実行権限を付けます（こちらはホスト側での操作。前述の通り、Dockerfile側でも二重に保証しています）。

sudo chmod +x /srv/containers/identity/build/entrypoint.sh

cd /srv/containers/identity/build
sudo podman build -t identity-dns-ntp:latest .

COMMIT identity-dns-ntp:latest
--> xxxxxxxxxxx
Successfully tagged localhost/identity-dns-ntp:latest

Successfully tagged が出ればビルド成功です。

いきなり起動して失敗の原因を調べるより、先に文法だけチェックすると効率的です。

sudo podman run --rm \
  -v /srv/containers/identity/unbound/unbound.conf:/etc/unbound/unbound.conf:Z \
  identity-dns-ntp:latest unbound-checkconf /etc/unbound/unbound.conf

unbound-checkconf: no errors in /etc/unbound/unbound.conf

エラーが出た場合は、ステップ2のファイルにタイプミス（インデントのズレなど、YAMLライクな書式は特にスペースの数に敏感です）がないか確認してください。

ステップ0-5で説明した通り、ここではディレクトリ単位ではなく、ファイル単位でマウントします。

sudo podman run -d \
  --name identity-dns-ntp \
  --network local_lan \
  --ip 192.168.2.11 \
  -v /srv/containers/identity/unbound/unbound.conf:/etc/unbound/unbound.conf:Z \
  -v /srv/containers/identity/chrony/chrony.conf:/etc/chrony/chrony.conf:Z \
  --restart always \
  identity-dns-ntp:latest

sudo podman ps
CONTAINER ID  IMAGE                            STATUS         PORTS                  NAMES
b72c40a8a051  localhost/identity-dns-ntp:latest Up About a minute 53/tcp, 53/udp, 123/udp identity-dns-ntp

sudo podman logs identity-dns-ntp
[entrypoint] Unbound（DNS）を起動します...
[entrypoint] Chrony（NTP）を起動します...
chronyd version 4.5 starting ...
Selected source 133.243.238.164 (ntp.nict.jp)

sudo podman ps

identity-dns-ntp が Up 状態で表示されればOKです。もし数秒後に消えている場合は、起動直後にクラッシュしています。次のログ確認に進んでください。

sudo podman logs identity-dns-ntp

[entrypoint] Unbound（DNS）を起動します... と [entrypoint] Chrony（NTP）を起動します... の両方が表示され、エラーが出ていなければ正常です。

sudo podman exec identity-dns-ntp chronyc tracking

Reference ID    : 3DCD7882 (ntp-k1.nict.jp)
Stratum         : 2
System time     : 0.000677686 seconds fast of NTP time
Leap status     : Normal

Stratumが16のままだったり、Leap statusがNot synchronisedの場合は、まだ同期できていません。数分待ってから再確認してください（インターネット接続自体に問題がないかも合わせて確認してください）。

ホストにdigコマンドがない場合は先にインストールします。

sudo dnf install -y bind-utils

内部ドメインの解決テスト：

dig @192.168.2.11 mgmt-server.home.local

;; ANSWER SECTION:
mgmt-server.home.local. 3600 IN A 192.168.2.3
;; SERVER: 192.168.2.11#53(192.168.2.11)

外部ドメインの再帰解決テスト：

dig @192.168.2.11 google.com

こちらもANSWER SECTIONにIPアドレスが返ってくれば、再帰DNSとして正常に機能しています。

今まで作った「SERVER内専用DNSサーバー（192.168.2.11）」を、ホストOS自身も使うように設定します。これにより mgmt-server.home.local のような内部名でサーバー同士が会話できるようになります。

nmcli connection show --active

NAME の列の値（例：enp1s0）をメモしてください。次のコマンドで使います。

<接続名> を手順1で確認した名前に置き換えて実行してください：

sudo nmcli connection modify <接続名> \
  ipv4.dns "192.168.2.11" \
  ipv4.dns-search "home.local" \
  ipv4.ignore-auto-dns yes

sudo nmcli connection up <接続名>

① resolv.confの中身を確認

cat /etc/resolv.conf

# Generated by NetworkManager
search home.local
nameserver 192.168.2.11
nameserver 1.1.1.1

② 実際にDNS解決できるか確認

nslookup mgmt-server.home.local

Server:   192.168.2.11
Address:  192.168.2.11#53
Name:    mgmt-server.home.local
Address: 192.168.2.3