Docker en Docker Compose op een VPS: installatie en je eerste applicatie

Docker draait applicaties in geïsoleerde containers die alles wat ze nodig hebben met zich meebrengen. We installeren het vanuit de officiële repository, starten via Docker Compose WordPress met een database en lopen het beheer, de updates, de firewall en de back-ups door.

Hoe het werkt#

Installatie#

Installeer Docker vanuit de officiële repository van Docker. Het pakket docker.io uit de repository van de distributie is meestal ouder en botst met de officiële pakketten.

Verwijder eerst eventuele conflicterende pakketten. Op een schone VPS vindt het commando niets, dat is in orde.

• dpkg --get-selections … – toont welke van de genoemde pakketten geïnstalleerd zijn.
• | cut -f1 – laat van de uitvoer alleen de pakketnamen over.
• apt remove $(…) – verwijdert ze. De gegevens in /var/lib/docker blijven staan.

Voeg daarna de repository van Docker toe en installeer Docker:

Wat de afzonderlijke regels doen:

Docker start na de installatie vanzelf en start voortaan automatisch mee met de VPS. Controleer de installatie:

docker run --rm hello-world
docker compose version

• docker run --rm hello-world – downloadt een testimage en start het; --rm verwijdert de container zodra hij klaar is. Je ziet Hello from Docker!.
• docker compose version – toont de versie van Compose, bijvoorbeeld Docker Compose version v5.…. Na versie 2 is Compose meteen naar nummer 5 gegaan, oudere installaties tonen daarom v2.…. De commando's in deze handleiding werken in beide.

Eerste applicatie: WordPress met MariaDB#

Project en wachtwoorden#

1. Maak de projectmap aan en ga erheen:

   mkdir -p /opt/wordpress
   cd /opt/wordpress

   De naam van de map (wordpress) wordt de naam van het Compose-project en het voorvoegsel van de namen van containers en volumes.

2. Maak een bestand met wachtwoorden aan met nano .env. Genereer de wachtwoorden in de wachtwoordgenerator (alleen letters en cijfers):

   DB_PASSWORD=<DATABASE_PASSWORD>
   DB_ROOT_PASSWORD=<DATABASE_ROOT_PASSWORD>

   • DB_PASSWORD – het wachtwoord van de databasegebruiker van WordPress.
   • DB_ROOT_PASSWORD – het wachtwoord van de gebruiker root binnen de databasecontainer (voor back-ups en beheer).

3. Zorg dat alleen root het bestand kan lezen:

   chmod 600 .env

Het bestand compose.yaml#

Maak met nano compose.yaml een bestand aan met deze inhoud:

services:
  db:
    image: mariadb:lts
    restart: unless-stopped
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: ${DB_PASSWORD}
      MARIADB_ROOT_PASSWORD: ${DB_ROOT_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql
    healthcheck:
      test: ["CMD", "healthcheck.sh", "--connect", "--innodb_initialized"]
      start_period: 10s
      interval: 10s
      timeout: 5s
      retries: 3

  wordpress:
    image: wordpress:latest
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
    ports:
      - "127.0.0.1:8080:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: ${DB_PASSWORD}
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html

volumes:
  db_data:
  wp_data:

Regel voor regel:

Starten#

docker compose up -d
docker compose ps

• docker compose up -d – downloadt de images, maakt het netwerk, de volumes en de containers aan en start ze op de achtergrond (-d, detached).
• docker compose ps – toont de containers van het project en hun status. Bij db zie je healthy, bij wordpress Up.

Controle vanaf de VPS: curl -I http://127.0.0.1:8080 geeft de headers van het antwoord van WordPress terug (een omleiding naar de installatie).

Bereikbaar maken via Nginx en HTTPS#

WordPress luistert nu alleen op 127.0.0.1:8080. Je maakt het bereikbaar via Nginx als reverse proxy volgens de handleiding Nginx en HTTPS: gebruik in de configuratie proxy_pass http://127.0.0.1:8080; en je domein, bijvoorbeeld blog.example.cz, en vraag daarna een certificaat aan met certbot --nginx -d blog.example.cz.

Het image van WordPress herkent HTTPS zelf aan de header X-Forwarded-Proto, die Nginx volgens de handleiding meestuurt. Open tot slot https://blog.example.cz en rond de installatie van WordPress af in je browser.

Containers beheren#

Voer de commando's docker compose uit in de projectmap (cd /opt/wordpress).

Updaten naar nieuwe versies van de images:

docker compose pull
docker compose up -d
docker image prune -f

• docker compose pull – downloadt nieuwe versies van de images.
• docker compose up -d – maakt de containers waarvoor een nieuwer image is opnieuw aan. De gegevens in de volumes blijven staan.
• docker image prune -f – verwijdert oude images die niet meer worden gebruikt; -f zonder bevestiging.

Mogelijke waarden voor restart::

Poorten en firewall#

Docker publiceert de poorten van containers met eigen firewallregels die UFW omzeilen. Een poort die als 8080:80 is gepubliceerd, is bereikbaar vanaf internet, ook als je hem in UFW niet toestaat. De handleiding UFW-firewall legt dit uitgebreid uit.

Publiceer een database en andere interne services helemaal niet. Poorten die openbaar moeten zijn (bijvoorbeeld een gameserver in een container), beperk je met de firewall in je klantaccount (handleiding). Die staat vóór de VPS en Docker kan hem niet omzeilen.

Schijfruimte opruimen#

Images, gestopte containers en logs nemen na verloop van tijd veel ruimte in.

docker system df
docker system prune

• docker system df – hoeveel ruimte de images, containers, volumes en cache innemen.
• docker system prune – verwijdert na bevestiging gestopte containers, ongebruikte netwerken, images zonder naam en de buildcache. Volumes met gegevens verwijdert het zonder de optie --volumes niet.

De logs van containers worden standaard niet geroteerd en kunnen de schijf vullen. Stel de driver local in, die oude logs zelf verwijdert (standaard bewaart hij hoogstens 5 bestanden van 20 MB per container). Maak met nano /etc/docker/daemon.json een bestand aan met de inhoud hieronder. Bestaat het bestand al, overschrijf het dan niet, maar voeg er alleen de regel "log-driver" aan toe (items gescheiden door een komma):

{
  "log-driver": "local"
}

Herstart daarna Docker (systemctl restart docker) en maak de containers opnieuw aan (docker compose up -d --force-recreate). De instelling geldt alleen voor nieuw aangemaakte containers.

Back-ups#

Maak een back-up van de volumes, niet van de containers. Een container maak je opnieuw aan vanuit het image, de gegevens niet.

1. Maak een map voor de back-ups aan: mkdir -p /root/zalohy.

2. Maak een back-up van de database met een export (consistenter dan een kopie van de bestanden):

   cd /opt/wordpress
   docker compose exec -T db sh -c 'exec mariadb-dump --single-transaction --all-databases -uroot -p"$MARIADB_ROOT_PASSWORD"' > /root/zalohy/wp-db-$(date +%F).sql

   • docker compose exec -T db – voert een commando uit in de container db; -T schakelt de terminal uit, zodat de uitvoer naar een bestand kan worden omgeleid.
   • sh -c '…' – het commando wordt uitgevoerd in de shell van de container, waar de variabele $MARIADB_ROOT_PASSWORD is ingesteld.
   • mariadb-dump --single-transaction --all-databases – een export van alle databases zonder vergrendeling.
   • > /root/zalohy/… – de uitvoer wordt op de VPS opgeslagen, buiten de container.

3. Maak een back-up van de bestanden van WordPress door het volume in te pakken:

   docker run --rm -v wordpress_wp_data:/data:ro -v /root/zalohy:/backup alpine tar czf /backup/wp-files-$(date +%F).tar.gz -C /data .

   • docker run --rm – start een eenmalige container die na afloop wordt verwijderd.
   • -v wordpress_wp_data:/data:ro – koppelt het volume wp_data van het project wordpress alleen-lezen (ro).
   • -v /root/zalohy:/backup – koppelt de back-upmap van de VPS.
   • alpine tar czf … -C /data . – pakt in het kleine image Alpine de inhoud van het volume in een archief in.

   De exacte namen van de volumes toont docker volume ls.

Het automatisch starten van back-ups met cron en het overzetten ervan naar een plek buiten de VPS staat beschreven in de handleiding Back-ups op een VPS.

Controle#

• docker compose ps toont beide containers als draaiend en de database als healthy.
• https://blog.example.cz toont WordPress met een slotje in de adresbalk.
• Na een herstart van de VPS (reboot) starten de containers vanzelf.
• Vanaf een andere computer kun je geen verbinding maken met http://<VPS_IP_ADDRESS>:8080 (de poort staat alleen op 127.0.0.1).

Als iets niet werkt#

permission denied while trying to connect to the Docker daemon socket#

Je bent geen root en je gebruiker zit niet in de groep docker. Voer het commando uit met sudo, of log in als root.

Bind for 127.0.0.1:8080 failed: port is already allocated of address already in use#

Poort 8080 wordt al gebruikt door een andere container (eerste melding) of door een ander programma op de VPS (tweede melding). Zoek uit welk (ss -tlnp | grep 8080, docker ps) en kies in compose.yaml een andere poort, bijvoorbeeld 127.0.0.1:8081:80. Pas daarna ook proxy_pass in Nginx aan.

WordPress meldt “Error establishing a database connection”#

De database is nog niet gereed of de inloggegevens kloppen niet. Bekijk de log van de database (docker compose logs db). Heb je het wachtwoord in .env pas na de eerste start gewijzigd, dan heeft de database nog steeds het oude wachtwoord (zie de waarschuwing in het hoofdstuk Starten).

De container blijft in de status Restarting#

De applicatie in de container crasht meteen na het starten. De oorzaak vind je in de log: docker compose logs --tail 50 <SERVICE_NAME>.

toomanyrequests: You have reached your unauthenticated pull rate limit#

Docker Hub beperkt het downloaden van images zonder in te loggen tot 100 per 6 uur vanaf één IP-adres. Wacht even, of log in met je Docker Hub-account: docker login.

no space left on device#

De schijf is vol. Zoek uit wat de ruimte inneemt (docker system df, df -h) en ruim op volgens het hoofdstuk Schijfruimte opruimen. Kom je echt ruimte tekort, verhoog dan het RAM op het tabblad Pakket wijzigen, de schijf groeit mee met het geheugen.

Meer bronnen#

• Docker: Install Docker Engine on Ubuntu (opent in een nieuw venster)
• Docker: Install Docker Engine on Debian (opent in een nieuw venster)
• Docker: Packet filtering and firewalls (opent in een nieuw venster)
• Docker: Port publishing (opent in een nieuw venster)
• Docker: Compose file reference (opent in een nieuw venster)
• Docker Hub: wordpress (opent in een nieuw venster)
• Docker Hub: mariadb (opent in een nieuw venster)