iotop начал выдавать интересную вещь: 
загрузка IO 99% от процесса [kworker/u16:0+flush-8:112]
После поисков вариантов проблемы оказалось, что knot-resolver имеет персистентный кеш на жестком диске.

Встановлення Docker в моєму варіанті дещо ускладнено.
Я не хочу використовувати дефолтовий firewalld і iptables.
Наразі firewalld не підтримує збереження правил nftables, які вносяться через nft, тому при рестарті все вилітає. 
А сам він не підтримує SNAT.
Плюс мені не подобається ідея ввімкнення маскарадінгу для всіх. Я хочу старий добрий Source NAT.
І завжди краще знати що відбувається під капотом та як працює, щоб не виникало сумних історій під час дебага.
Тому тут буде більше про nftables і як вимкнути в докері дефолтовий фаєрвол.

Первое включение свитча. Настройка адреса и доступа.