Docker und Docker Compose auf einem VPS: Installation und Ihre erste App

Docker führt Apps in isolierten Containern aus, die alles mitbringen, was sie brauchen. Wir installieren es aus dem offiziellen Repository, betreiben mit Docker Compose WordPress mit einer Datenbank und gehen Verwaltung, Updates, Firewall und Backups durch.

So funktioniert es#

Installation#

Installieren Sie Docker aus dem offiziellen Repository von Docker. Das Paket docker.io aus dem Distributions-Repository ist tendenziell älter und kollidiert mit den offiziellen Paketen.

Entfernen Sie zuerst eventuell kollidierende Pakete. Auf einem frischen VPS findet der Befehl nichts, was in Ordnung ist.

• dpkg --get-selections … – listet auf, welche der genannten Pakete installiert sind.
• | cut -f1 – behält nur die Paketnamen.
• apt remove $(…) – deinstalliert sie. Daten in /var/lib/docker bleiben.

Fügen Sie dann das Docker-Repository hinzu und installieren Sie Docker:

Was jede Zeile tut:

Nach der Installation startet Docker von selbst und ist beim Booten des VPS aktiviert. Prüfen Sie die Installation:

docker run --rm hello-world
docker compose version

• docker run --rm hello-world – lädt ein Test-Image herunter und führt es aus; --rm löscht den Container nach dem Ende. Sie sehen Hello from Docker!.
• docker compose version – gibt die Compose-Version aus, zum Beispiel Docker Compose version v5.…. Nach Version 2 sprang Compose direkt auf 5, ältere Installationen zeigen also v2.…. Die Befehle in dieser Anleitung funktionieren mit beiden.

Erste App: WordPress mit MariaDB#

Projekt und Passwörter#

1. Legen Sie das Projektverzeichnis an und wechseln Sie hinein:

   mkdir -p /opt/wordpress
   cd /opt/wordpress

   Der Verzeichnisname (wordpress) wird zum Compose-Projektnamen und zum Präfix für Container- und Volume-Namen.

2. Erstellen Sie mit nano .env eine Datei mit den Passwörtern. Erzeugen Sie die Passwörter mit dem Passwortgenerator (nur Buchstaben und Ziffern):

   DB_PASSWORD=<DATENBANK_PASSWORT>
   DB_ROOT_PASSWORD=<DATENBANK_ROOT_PASSWORT>

   • DB_PASSWORD – Passwort des WordPress-Datenbankbenutzers.
   • DB_ROOT_PASSWORD – Passwort des Benutzers root im Datenbankcontainer (für Backups und Verwaltung).

3. Machen Sie die Datei nur für root lesbar:

   chmod 600 .env

Die Datei compose.yaml#

Erstellen Sie mit nano compose.yaml eine Datei mit diesem Inhalt:

services:
  db:
    image: mariadb:lts
    restart: unless-stopped
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: ${DB_PASSWORD}
      MARIADB_ROOT_PASSWORD: ${DB_ROOT_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql
    healthcheck:
      test: ["CMD", "healthcheck.sh", "--connect", "--innodb_initialized"]
      start_period: 10s
      interval: 10s
      timeout: 5s
      retries: 3

  wordpress:
    image: wordpress:latest
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
    ports:
      - "127.0.0.1:8080:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: ${DB_PASSWORD}
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html

volumes:
  db_data:
  wp_data:

Zeile für Zeile:

Starten#

docker compose up -d
docker compose ps

• docker compose up -d – lädt die Images herunter, erstellt Netzwerk, Volumes und Container und startet sie im Hintergrund (-d, detached).
• docker compose ps – listet die Container des Projekts und ihren Status auf. db zeigt healthy, wordpress zeigt Up.

Prüfung vom VPS aus: curl -I http://127.0.0.1:8080 liefert die Antwort-Header von WordPress (eine Weiterleitung zum Installer).

Bereitstellung über Nginx und HTTPS#

WordPress lauscht jetzt nur auf 127.0.0.1:8080. Stellen Sie es über Nginx als Reverse Proxy nach der Anleitung Nginx und HTTPS bereit: Verwenden Sie in der Konfiguration proxy_pass http://127.0.0.1:8080; und Ihre Domain, zum Beispiel blog.example.cz, und holen Sie dann mit certbot --nginx -d blog.example.cz ein Zertifikat.

Das WordPress-Image erkennt HTTPS selbst am Header X-Forwarded-Proto, den Nginx sendet, wenn es wie in dieser Anleitung eingerichtet ist. Öffnen Sie zum Schluss https://blog.example.cz und schließen Sie die WordPress-Installation im Browser ab.

Container verwalten#

Führen Sie docker compose-Befehle im Projektverzeichnis aus (cd /opt/wordpress).

Aktualisierung auf neue Image-Versionen:

docker compose pull
docker compose up -d
docker image prune -f

• docker compose pull – lädt neue Image-Versionen herunter.
• docker compose up -d – erstellt Container mit neuerem Image neu. Daten in Volumes bleiben.
• docker image prune -f – löscht alte, nicht mehr verwendete Images; -f überspringt die Bestätigung.

Optionen für restart::

Ports und die Firewall#

Docker veröffentlicht Container-Ports mit eigenen Firewall-Regeln, die UFW umgehen. Ein als 8080:80 veröffentlichter Port ist aus dem Internet erreichbar, auch wenn Sie ihn in UFW nicht erlauben. Die Anleitung Firewall UFW erklärt das ausführlich.

Veröffentlichen Sie Datenbanken und andere interne Dienste gar nicht. Ports, die öffentlich sein müssen (zum Beispiel ein Gameserver in einem Container), beschränken Sie mit der Firewall im Kundenbereich (Anleitung). Sie sitzt vor dem VPS, und Docker kann sie nicht umgehen.

Speicherplatz freigeben#

Images, gestoppte Container und Logs belegen mit der Zeit viel Platz.

docker system df
docker system prune

• docker system df – wie viel Platz Images, Container, Volumes und der Cache belegen.
• docker system prune – löscht nach Bestätigung gestoppte Container, ungenutzte Netzwerke, Images ohne Tag und den Build-Cache. Volumes mit Daten löscht es nicht, es sei denn, Sie ergänzen --volumes.

Standardmäßig werden Container-Logs nicht rotiert und können die Festplatte füllen. Stellen Sie den Treiber local ein, der alte Logs von selbst entfernt (standardmäßig behält er höchstens 5 Dateien à 20 MB pro Container). Erstellen Sie die Datei nano /etc/docker/daemon.json mit dem Inhalt unten. Existiert die Datei bereits, überschreiben Sie sie nicht; ergänzen Sie nur die Zeile "log-driver" (Einträge durch Kommas getrennt):

{
  "log-driver": "local"
}

Starten Sie dann Docker neu (systemctl restart docker) und erstellen Sie die Container neu (docker compose up -d --force-recreate). Die Einstellung gilt nur für neu erstellte Container.

Backups#

Sichern Sie Volumes, nicht Container. Einen Container können Sie aus seinem Image neu erstellen, die Daten nicht.

1. Legen Sie ein Verzeichnis für Backups an: mkdir -p /root/zalohy.

2. Sichern Sie die Datenbank mit einem Export (konsistenter als das Kopieren von Dateien):

   cd /opt/wordpress
   docker compose exec -T db sh -c 'exec mariadb-dump --single-transaction --all-databases -uroot -p"$MARIADB_ROOT_PASSWORD"' > /root/zalohy/wp-db-$(date +%F).sql

   • docker compose exec -T db – führt einen Befehl im Container db aus; -T deaktiviert das Terminal, damit sich die Ausgabe in eine Datei umleiten lässt.
   • sh -c '…' – der Befehl läuft in der Shell des Containers, wo die Variable $MARIADB_ROOT_PASSWORD gesetzt ist.
   • mariadb-dump --single-transaction --all-databases – exportiert alle Datenbanken ohne Sperren.
   • > /root/zalohy/… – die Ausgabe wird auf dem VPS gespeichert, außerhalb des Containers.

3. Sichern Sie die WordPress-Dateien, indem Sie das Volume archivieren:

   docker run --rm -v wordpress_wp_data:/data:ro -v /root/zalohy:/backup alpine tar czf /backup/wp-files-$(date +%F).tar.gz -C /data .

   • docker run --rm – startet einen einmaligen Container, der nach dem Ende gelöscht wird.
   • -v wordpress_wp_data:/data:ro – hängt das Volume wp_data des Projekts wordpress schreibgeschützt (ro) ein.
   • -v /root/zalohy:/backup – hängt das Backup-Verzeichnis vom VPS ein.
   • alpine tar czf … -C /data . – packt den Inhalt des Volumes mit dem kleinen Alpine-Image in ein Archiv.

   docker volume ls gibt die genauen Volume-Namen aus.

Wie Sie Backups automatisch mit cron ausführen und vom VPS wegkopieren, behandelt Backups auf einem VPS.

Überprüfung#

• docker compose ps zeigt beide Container als laufend und die Datenbank als healthy.
• https://blog.example.cz zeigt WordPress mit einem Schloss in der Adressleiste.
• Nach einem Neustart des VPS (reboot) starten die Container von selbst.
• Von einem anderen Computer können Sie sich nicht mit http://<VPS_IP_ADRESSE>:8080 verbinden (der Port ist nur an 127.0.0.1 gebunden).

Fehlerbehebung#

permission denied while trying to connect to the Docker daemon socket#

Sie sind nicht root, und Ihr Benutzer ist nicht in der Gruppe docker. Führen Sie den Befehl mit sudo aus oder melden Sie sich als root an.

Bind for 127.0.0.1:8080 failed: port is already allocated oder address already in use#

Port 8080 wird bereits von einem anderen Container (erste Meldung) oder einem anderen Programm auf dem VPS (zweite Meldung) verwendet. Finden Sie heraus, von welchem (ss -tlnp | grep 8080, docker ps), und wählen Sie in compose.yaml einen anderen Port, zum Beispiel 127.0.0.1:8081:80. Aktualisieren Sie dann auch proxy_pass in Nginx.

WordPress zeigt „Error establishing a database connection“#

Die Datenbank ist noch nicht bereit, oder die Zugangsdaten passen nicht. Prüfen Sie das Datenbank-Log (docker compose logs db). Haben Sie das Passwort in .env nach dem ersten Start geändert, hat die Datenbank noch das alte Passwort (siehe die Warnung unter Starten).

Der Container zeigt dauernd Restarting#

Die App im Container stürzt direkt nach dem Start ab. Die Ursache finden Sie im Log: docker compose logs --tail 50 <DIENSTNAME>.

toomanyrequests: You have reached your unauthenticated pull rate limit#

Docker Hub begrenzt anonyme Image-Downloads auf 100 pro 6 Stunden und IP-Adresse. Warten Sie, oder melden Sie sich mit Ihrem Docker-Hub-Konto an: docker login.

no space left on device#

Die Festplatte ist voll. Finden Sie heraus, was sie belegt (docker system df, df -h), und räumen Sie wie unter Speicherplatz freigeben beschrieben auf. Geht Ihnen der Platz tatsächlich aus, erhöhen Sie das RAM in der Registerkarte Tarif ändern; die Festplattengröße wächst mit dem Arbeitsspeicher.

Weiterführende Links#

• Docker: Install Docker Engine on Ubuntu (öffnet sich in einem neuen Fenster)
• Docker: Install Docker Engine on Debian (öffnet sich in einem neuen Fenster)
• Docker: Paketfilterung und Firewalls (öffnet sich in einem neuen Fenster)
• Docker: Port-Veröffentlichung (öffnet sich in einem neuen Fenster)
• Docker: Compose-Dateireferenz (öffnet sich in einem neuen Fenster)
• Docker Hub: wordpress (öffnet sich in einem neuen Fenster)
• Docker Hub: mariadb (öffnet sich in einem neuen Fenster)