Как заставить Docker разрешать хост DMZ?

Представьте, что у меня есть такая установка:

Сервер приложений
- Частный IP: 1.0.0.1; Частное имя хоста: machine1.internal.domain
- Публичный IP: 2.0.0.1; Публичное имя хоста: machine1.example.com
Сервер базы данных
- Частный IP: 1.0.0.2; Частное имя хоста: machine2.internal.domain
- Публичный IP: 2.0.0.2; Публичное имя хоста: machine2.example.com

Эти 2 машины находятся в DMZ.

Machine1 необходимо подключиться к machine2, используя внутреннее имя хоста. Важно одно: мы не хотим, чтобы трафик между ними выходил за пределы DMZ. И имя хоста machine2.internal.domain жестко запрограммирован в приложении, работающем на машине №1.

Без установки Dockerized:

Случай №1: Если разрешение имен работает для machine2.internal.domain, уже все хорошо.
Случай № 2: В противном случае я бы добавил запись в /etc/hosts в machine1: machine2.internal.domain 1.0.0.2

С настройкой Dockerized я знаю, когда разрешение имен не работает, контейнер Docker не может достичь machine2, поскольку он не наследует записи в /etc/hosts хост-машины.

Как мне заставить эту штуку работать наилучшим образом? ... для обоих случаев: разрешение DNS работает и не работает.

Я рассмотрел следующие варианты для случая 2:

Передача IP-адреса машины2 в контейнер Docker на машине1: docker run --add-host machine2.internal.domain:1.0.0.2 ...
- Я должен определить IP machine2.internal.domain дважды: один раз в /etc/hosts и однажды в команде запуска Docker
Не сдерживающая сеть для контейнера в machine1: docker blabla --net=host
- Это кажется неправильным, хотя я не могу сказать, какими будут последствия.

Если у вас есть внутренний DNS-сервер, вы можете запустить приложение Docker с параметром --dns = [].

Настройте свой внутренний DNS-сервер в качестве сервера пересылки на настоящий DNS, когда поиск имени завершается неудачно, чтобы любые внутренние имена использовали внутренний адрес.

Другой вариант - записать пользовательский файл hosts в образ докера, что нормально, если они исправлены, но не всегда идеально.

Третий способ - рассмотреть возможность использования чего-то вроде skydns. Если ваши докеры работают под управлением CoreOS или если у вас есть кластер etcd2, он тоже подойдет.

Безусловно, лучший вариант - заставить ваши хосты работать через какой-то механизм обнаружения, где все есть, а не полагаться на DNS. Однако обычно для этого требуется что-то вроде etcd2 или consul.