iotop почав видавати цікаві дані: 
IO завантажений на 99% процесом [kworker/u16:0+flush-8:112]
Після пошуків варіантів проблеми, виявилось, що knot-resolver має персистентний кеш на жорсткому диску.

Встановлення Docker в моєму варіанті дещо ускладнено.
Я не хочу використовувати дефолтовий firewalld і iptables.
Наразі firewalld не підтримує збереження правил nftables, які вносяться через nft, тому при рестарті все вилітає. 
А сам він не підтримує SNAT.
Плюс мені не подобається ідея ввімкнення маскарадінгу для всіх. Я хочу старий добрий Source NAT.
І завжди краще знати що відбувається під капотом та як працює, щоб не виникало сумних історій під час дебага.
Тому тут буде більше про nftables і як вимкнути в докері дефолтовий фаєрвол.

Первое включение свитча. Настройка адреса и доступа.