Docker 网络记录传出流量？

Question

我有一个 docker-compose 工作负载，允许发出一些外部网络请求，但不应连接到允许列表之外的域。

有没有好的办法

1. 记录我的容器连接到哪些域
2. 阻止不在允许列表中的域（但仍记录它们）

tcpdump 看起来可以记录我的容器尝试连接的 ipaddrs，但对于主机名而言，它依赖于不明确的反向域名查找；我们可以记录 DNS 查找吗？tcpdump 也不让我阻止非白名单域。