Docker a Docker Compose na VPS: instalace a první aplikace

Docker spouští aplikace v izolovaných kontejnerech, které si s sebou nesou vše potřebné. Nainstalujeme ho z oficiálního repozitáře, přes Docker Compose spustíme WordPress s databází a projdeme správu, aktualizace, firewall a zálohy.

Jak to funguje#

Instalace#

Docker instalujte z oficiálního repozitáře Dockeru. Balíček docker.io z repozitáře distribuce bývá starší a koliduje s oficiálními balíčky.

Nejdřív odstraňte případné kolidující balíčky. Na čisté VPS příkaz nic nenajde, to je v pořádku.

• dpkg --get-selections … – vypíše z uvedených balíčků ty, které jsou nainstalované.
• | cut -f1 – nechá z výpisu jen názvy balíčků.
• apt remove $(…) – odinstaluje je. Data v /var/lib/docker zůstanou.

Pak přidejte repozitář Dockeru a nainstalujte ho:

Co jednotlivé řádky dělají:

Docker se po instalaci sám spustí a zapne po startu VPS. Ověřte instalaci:

docker run --rm hello-world
docker compose version

• docker run --rm hello-world – stáhne testovací obraz a spustí ho; --rm kontejner po skončení smaže. Uvidíte Hello from Docker!.
• docker compose version – vypíše verzi Compose, například Docker Compose version v5.…. Po verzi 2 přešel Compose rovnou na číslo 5, starší instalace proto ukazují v2.…. Příkazy v návodu fungují v obou.

První aplikace: WordPress s MariaDB#

Projekt a hesla#

1. Vytvořte složku projektu a přejděte do ní:

   mkdir -p /opt/wordpress
   cd /opt/wordpress

   Název složky (wordpress) se stane názvem projektu Compose a předponou názvů kontejnerů a volumes.

2. Vytvořte soubor s hesly nano .env. Hesla vygenerujte v generátoru hesel (jen písmena a číslice):

   DB_PASSWORD=<HESLO_DATABAZE>
   DB_ROOT_PASSWORD=<HESLO_ROOT_DATABAZE>

   • DB_PASSWORD – heslo databázového uživatele WordPressu.
   • DB_ROOT_PASSWORD – heslo uživatele root uvnitř databázového kontejneru (pro zálohy a správu).

3. Omezte čtení souboru jen na roota:

   chmod 600 .env

Soubor compose.yaml#

Vytvořte nano compose.yaml s obsahem:

services:
  db:
    image: mariadb:lts
    restart: unless-stopped
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: ${DB_PASSWORD}
      MARIADB_ROOT_PASSWORD: ${DB_ROOT_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql
    healthcheck:
      test: ["CMD", "healthcheck.sh", "--connect", "--innodb_initialized"]
      start_period: 10s
      interval: 10s
      timeout: 5s
      retries: 3

  wordpress:
    image: wordpress:latest
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
    ports:
      - "127.0.0.1:8080:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: ${DB_PASSWORD}
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html

volumes:
  db_data:
  wp_data:

Řádek po řádku:

Spuštění#

docker compose up -d
docker compose ps

• docker compose up -d – stáhne obrazy, vytvoří síť, volumes a kontejnery a spustí je na pozadí (-d, detached).
• docker compose ps – vypíše kontejnery projektu a jejich stav. U db uvidíte healthy, u wordpress Up.

Kontrola z VPS: curl -I http://127.0.0.1:8080 vrátí hlavičky odpovědi WordPressu (přesměrování na instalaci).

Zpřístupnění přes Nginx a HTTPS#

WordPress teď poslouchá jen na 127.0.0.1:8080. Zpřístupníte ho přes Nginx jako reverse proxy podle návodu Nginx a HTTPS: v konfiguraci použijte proxy_pass http://127.0.0.1:8080; a doménu, například blog.example.cz, a pak získejte certifikát přes certbot --nginx -d blog.example.cz.

Obraz WordPressu sám rozpozná HTTPS z hlavičky X-Forwarded-Proto, kterou Nginx podle návodu posílá. Nakonec otevřete https://blog.example.cz a dokončete instalaci WordPressu v prohlížeči.

Správa kontejnerů#

Příkazy docker compose spouštějte ve složce projektu (cd /opt/wordpress).

Aktualizace na nové verze obrazů:

docker compose pull
docker compose up -d
docker image prune -f

• docker compose pull – stáhne nové verze obrazů.
• docker compose up -d – vytvoří znovu kontejnery, které mají novější obraz. Data ve volumes zůstanou.
• docker image prune -f – smaže staré, už nepoužívané obrazy; -f bez potvrzení.

Možnosti nastavení restart::

Porty a firewall#

Docker publikuje porty kontejnerů vlastními pravidly firewallu, která obcházejí UFW. Port publikovaný jako 8080:80 je dostupný z internetu, i když ho v UFW nepovolíte. Podrobně to vysvětluje návod Firewall UFW.

Databázi a další interní služby nepublikujte vůbec. Porty, které mají být veřejné (například herní server v kontejneru), omezujte firewallem v zákaznické zóně (návod). Ten stojí před VPS a Docker ho obejít nemůže.

Úklid místa na disku#

Obrazy, zastavené kontejnery a logy časem zaberou hodně místa.

docker system df
docker system prune

• docker system df – kolik místa zabírají obrazy, kontejnery, volumes a cache.
• docker system prune – po potvrzení smaže zastavené kontejnery, nepoužívané sítě, obrazy bez názvu a cache sestavování. Volumes s daty bez přepínače --volumes nemaže.

Logy kontejnerů se ve výchozím nastavení neotáčejí a můžou zaplnit disk. Nastavte ovladač local, který staré logy maže sám (ve výchozím stavu drží nejvýš 5 souborů po 20 MB na kontejner). Vytvořte soubor nano /etc/docker/daemon.json s obsahem níže. Pokud soubor už existuje, nepřepisujte ho, jen do něj doplňte řádek "log-driver" (položky oddělené čárkou):

{
  "log-driver": "local"
}

Pak restartujte Docker (systemctl restart docker) a kontejnery vytvořte znovu (docker compose up -d --force-recreate). Nastavení platí jen pro nově vytvořené kontejnery.

Zálohy#

Zálohujte volumes, ne kontejnery. Kontejner vytvoříte znovu z obrazu, data ne.

1. Vytvořte složku pro zálohy: mkdir -p /root/zalohy.

2. Databázi zálohujte exportem (konzistentnější než kopie souborů):

   cd /opt/wordpress
   docker compose exec -T db sh -c 'exec mariadb-dump --single-transaction --all-databases -uroot -p"$MARIADB_ROOT_PASSWORD"' > /root/zalohy/wp-db-$(date +%F).sql

   • docker compose exec -T db – spustí příkaz v kontejneru db; -T vypne terminál, aby šel výstup přesměrovat do souboru.
   • sh -c '…' – příkaz proběhne v shellu kontejneru, kde je proměnná $MARIADB_ROOT_PASSWORD nastavená.
   • mariadb-dump --single-transaction --all-databases – export všech databází bez zamykání.
   • > /root/zalohy/… – výstup se uloží na VPS mimo kontejner.

3. Soubory WordPressu zálohujte zabalením volume:

   docker run --rm -v wordpress_wp_data:/data:ro -v /root/zalohy:/backup alpine tar czf /backup/wp-files-$(date +%F).tar.gz -C /data .

   • docker run --rm – spustí jednorázový kontejner, který se po skončení smaže.
   • -v wordpress_wp_data:/data:ro – připojí volume wp_data projektu wordpress jen pro čtení (ro).
   • -v /root/zalohy:/backup – připojí složku záloh z VPS.
   • alpine tar czf … -C /data . – v malém obrazu Alpine zabalí obsah volume do archivu.

   Přesné názvy volumes vypíše docker volume ls.

Automatické spouštění záloh cronem a jejich přenos mimo VPS popisuje návod Zálohy na VPS.

Ověření#

• docker compose ps ukazuje oba kontejnery jako běžící, databázi jako healthy.
• https://blog.example.cz zobrazí WordPress se zámkem v adresním řádku.
• Po restartu VPS (reboot) se kontejnery spustí samy.
• Z jiného počítače se na http://<IP_ADRESA_VPS>:8080 nepřipojíte (port je jen na 127.0.0.1).

Když něco nefunguje#

permission denied while trying to connect to the Docker daemon socket#

Nejste root a váš uživatel není ve skupině docker. Spusťte příkaz přes sudo, nebo se přihlaste jako root.

Bind for 127.0.0.1:8080 failed: port is already allocated nebo address already in use#

Port 8080 už používá jiný kontejner (první hláška) nebo jiný program na VPS (druhá hláška). Zjistěte který (ss -tlnp | grep 8080, docker ps) a v compose.yaml zvolte jiný port, například 127.0.0.1:8081:80. Pak upravte i proxy_pass v Nginxu.

WordPress hlásí „Error establishing a database connection“#

Databáze ještě není připravená nebo nesedí přihlašovací údaje. Podívejte se do logu databáze (docker compose logs db). Pokud jste měnili heslo v .env až po prvním startu, databáze má pořád staré heslo (viz upozornění v kapitole Spuštění).

Kontejner je stále ve stavu Restarting#

Aplikace v kontejneru hned po startu padá. Příčinu najdete v logu: docker compose logs --tail 50 <NAZEV_SLUZBY>.

toomanyrequests: You have reached your unauthenticated pull rate limit#

Docker Hub omezuje stahování obrazů bez přihlášení na 100 za 6 hodin z jedné IP adresy. Počkejte, nebo se přihlaste svým účtem Docker Hubu: docker login.

no space left on device#

Došlo místo na disku. Zjistěte, co ho zabírá (docker system df, df -h), a ukliďte podle kapitoly Úklid místa na disku. Pokud místo opravdu chybí, navyšte RAM v záložce Změna balíčku, disk roste s pamětí.

Další zdroje#

• Docker: Install Docker Engine on Ubuntu (otevře se v novém okně)
• Docker: Install Docker Engine on Debian (otevře se v novém okně)
• Docker: Packet filtering and firewalls (otevře se v novém okně)
• Docker: Port publishing (otevře se v novém okně)
• Docker: Compose file reference (otevře se v novém okně)
• Docker Hub: wordpress (otevře se v novém okně)
• Docker Hub: mariadb (otevře se v novém okně)