Docker i Docker Compose na VPS: instalacja i pierwsza aplikacja

Docker uruchamia aplikacje w izolowanych kontenerach, które niosą ze sobą wszystko, czego potrzebują. Zainstalujemy go z oficjalnego repozytorium, przez Docker Compose uruchomimy WordPress z bazą danych i przejdziemy przez zarządzanie, aktualizacje, firewall i kopie zapasowe.

Jak to działa#

Instalacja#

Zainstaluj Dockera z oficjalnego repozytorium Dockera. Pakiet docker.io z repozytorium dystrybucji bywa starszy i koliduje z oficjalnymi pakietami.

Najpierw usuń ewentualne kolidujące pakiety. Na świeżym VPS polecenie niczego nie znajdzie, co jest w porządku.

• dpkg --get-selections … – wypisuje, które z podanych pakietów są zainstalowane.
• | cut -f1 – zostawia tylko nazwy pakietów.
• apt remove $(…) – odinstalowuje je. Dane w /var/lib/docker zostają.

Następnie dodaj repozytorium Dockera i zainstaluj Dockera:

Co robi każda linia:

Po instalacji Docker startuje sam i jest włączony przy uruchomieniu VPS. Sprawdź instalację:

docker run --rm hello-world
docker compose version

• docker run --rm hello-world – pobiera obraz testowy i go uruchamia; --rm usuwa kontener po zakończeniu. Zobaczysz Hello from Docker!.
• docker compose version – wypisuje wersję Compose, na przykład Docker Compose version v5.…. Po wersji 2 Compose przeskoczył od razu na 5, więc starsze instalacje pokazują v2.…. Polecenia w tym poradniku działają z obiema.

Pierwsza aplikacja: WordPress z MariaDB#

Projekt i hasła#

1. Utwórz katalog projektu i przejdź do niego:

   mkdir -p /opt/wordpress
   cd /opt/wordpress

   Nazwa katalogu (wordpress) staje się nazwą projektu Compose i prefiksem nazw kontenerów i wolumenów.

2. Utwórz plik z hasłami przez nano .env. Hasła wygeneruj generatorem haseł (tylko litery i cyfry):

   DB_PASSWORD=<HASLO_BAZY_DANYCH>
   DB_ROOT_PASSWORD=<HASLO_ROOT_BAZY_DANYCH>

   • DB_PASSWORD – hasło użytkownika bazy danych WordPressa.
   • DB_ROOT_PASSWORD – hasło użytkownika root wewnątrz kontenera bazy danych (do kopii zapasowych i administracji).

3. Ustaw plik jako czytelny tylko dla roota:

   chmod 600 .env

Plik compose.yaml#

Utwórz nano compose.yaml z tą zawartością:

services:
  db:
    image: mariadb:lts
    restart: unless-stopped
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: ${DB_PASSWORD}
      MARIADB_ROOT_PASSWORD: ${DB_ROOT_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql
    healthcheck:
      test: ["CMD", "healthcheck.sh", "--connect", "--innodb_initialized"]
      start_period: 10s
      interval: 10s
      timeout: 5s
      retries: 3

  wordpress:
    image: wordpress:latest
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
    ports:
      - "127.0.0.1:8080:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: ${DB_PASSWORD}
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html

volumes:
  db_data:
  wp_data:

Linia po linii:

Uruchomienie#

docker compose up -d
docker compose ps

• docker compose up -d – pobiera obrazy, tworzy sieć, wolumeny i kontenery i uruchamia je w tle (-d, detached).
• docker compose ps – wypisuje kontenery projektu i ich status. db pokazuje healthy, wordpress pokazuje Up.

Kontrola z VPS: curl -I http://127.0.0.1:8080 zwraca nagłówki odpowiedzi WordPressa (przekierowanie do instalatora).

Udostępnienie przez Nginx i HTTPS#

WordPress nasłuchuje teraz tylko na 127.0.0.1:8080. Udostępnij go przez Nginx jako reverse proxy według poradnika Nginx i HTTPS: w konfiguracji użyj proxy_pass http://127.0.0.1:8080; i swojej domeny, na przykład blog.example.cz, a potem uzyskaj certyfikat przez certbot --nginx -d blog.example.cz.

Obraz WordPressa sam wykrywa HTTPS z nagłówka X-Forwarded-Proto, który Nginx wysyła po skonfigurowaniu jak w tamtym poradniku. Na koniec otwórz https://blog.example.cz i dokończ instalację WordPressa w przeglądarce.

Zarządzanie kontenerami#

Polecenia docker compose uruchamiaj w katalogu projektu (cd /opt/wordpress).

Aktualizacja do nowych wersji obrazów:

docker compose pull
docker compose up -d
docker image prune -f

• docker compose pull – pobiera nowe wersje obrazów.
• docker compose up -d – odtwarza kontenery, które mają nowszy obraz. Dane w wolumenach zostają.
• docker image prune -f – usuwa stare, nieużywane już obrazy; -f pomija potwierdzenie.

Opcje restart::

Porty i firewall#

Docker publikuje porty kontenerów własnymi regułami firewalla, które omijają UFW. Port opublikowany jako 8080:80 jest dostępny z internetu, nawet jeśli nie zezwolisz na niego w UFW. Szczegółowo wyjaśnia to poradnik Firewall UFW.

Baz danych i innych usług wewnętrznych w ogóle nie publikuj. Porty, które muszą być publiczne (na przykład serwer gier w kontenerze), ogranicz firewallem w strefie klienta (poradnik). Znajduje się przed VPS i Docker nie może go ominąć.

Zwalnianie miejsca na dysku#

Obrazy, zatrzymane kontenery i logi zajmują z czasem dużo miejsca.

docker system df
docker system prune

• docker system df – ile miejsca zajmują obrazy, kontenery, wolumeny i cache.
• docker system prune – po potwierdzeniu usuwa zatrzymane kontenery, nieużywane sieci, obrazy bez tagu i cache budowania. Nie usuwa wolumenów z danymi, chyba że dodasz --volumes.

Domyślnie logi kontenerów nie są rotowane i mogą zapełnić dysk. Ustaw sterownik local, który sam usuwa stare logi (domyślnie trzyma najwyżej 5 plików po 20 MB na kontener). Utwórz plik nano /etc/docker/daemon.json z poniższą zawartością. Jeśli plik już istnieje, nie nadpisuj go; dodaj tylko linię "log-driver" (wpisy oddzielone przecinkami):

{
  "log-driver": "local"
}

Następnie zrestartuj Dockera (systemctl restart docker) i odtwórz kontenery (docker compose up -d --force-recreate). Ustawienie dotyczy tylko nowo tworzonych kontenerów.

Kopie zapasowe#

Archiwizuj wolumeny, nie kontenery. Kontener odtworzysz z obrazu, ale danych nie.

1. Utwórz katalog na kopie zapasowe: mkdir -p /root/zalohy.

2. Zarchiwizuj bazę danych eksportem (bardziej spójne niż kopiowanie plików):

   cd /opt/wordpress
   docker compose exec -T db sh -c 'exec mariadb-dump --single-transaction --all-databases -uroot -p"$MARIADB_ROOT_PASSWORD"' > /root/zalohy/wp-db-$(date +%F).sql

   • docker compose exec -T db – wykonuje polecenie w kontenerze db; -T wyłącza terminal, aby wyjście dało się przekierować do pliku.
   • sh -c '…' – polecenie działa w powłoce kontenera, gdzie ustawiona jest zmienna $MARIADB_ROOT_PASSWORD.
   • mariadb-dump --single-transaction --all-databases – eksportuje wszystkie bazy bez blokowania.
   • > /root/zalohy/… – wyjście zapisuje się na VPS, poza kontenerem.

3. Zarchiwizuj pliki WordPressa, pakując wolumen:

   docker run --rm -v wordpress_wp_data:/data:ro -v /root/zalohy:/backup alpine tar czf /backup/wp-files-$(date +%F).tar.gz -C /data .

   • docker run --rm – uruchamia jednorazowy kontener, usuwany po zakończeniu.
   • -v wordpress_wp_data:/data:ro – montuje wolumen wp_data projektu wordpress tylko do odczytu (ro).
   • -v /root/zalohy:/backup – montuje katalog kopii zapasowych z VPS.
   • alpine tar czf … -C /data . – pakuje zawartość wolumenu do archiwum przy użyciu małego obrazu Alpine.

   docker volume ls wypisuje dokładne nazwy wolumenów.

Automatyczne kopie zapasowe przez cron i kopiowanie ich poza VPS opisuje artykuł Kopie zapasowe na VPS.

Weryfikacja#

• docker compose ps pokazuje oba kontenery jako działające, a bazę danych jako healthy.
• https://blog.example.cz pokazuje WordPressa z kłódką w pasku adresu.
• Po restarcie VPS (reboot) kontenery startują same.
• Z innego komputera nie da się połączyć z http://<ADRES_IP_VPS>:8080 (port jest przypięty tylko do 127.0.0.1).

Rozwiązywanie problemów#

permission denied while trying to connect to the Docker daemon socket#

Nie jesteś rootem, a Twój użytkownik nie jest w grupie docker. Uruchom polecenie z sudo albo zaloguj się jako root.

Bind for 127.0.0.1:8080 failed: port is already allocated lub address already in use#

Port 8080 zajmuje już inny kontener (pierwszy komunikat) albo inny program na VPS (drugi komunikat). Ustal który (ss -tlnp | grep 8080, docker ps) i wybierz inny port w compose.yaml, na przykład 127.0.0.1:8081:80. Potem zaktualizuj także proxy_pass w Nginx.

WordPress pokazuje „Error establishing a database connection”#

Baza danych nie jest jeszcze gotowa albo dane logowania się nie zgadzają. Sprawdź log bazy (docker compose logs db). Jeśli zmieniono hasło w .env po pierwszym starcie, baza nadal ma stare hasło (zobacz ostrzeżenie w sekcji Uruchomienie).

Kontener stale pokazuje Restarting#

Aplikacja w kontenerze zawiesza się zaraz po starcie. Przyczynę znajdziesz w logu: docker compose logs --tail 50 <NAZWA_USLUGI>.

toomanyrequests: You have reached your unauthenticated pull rate limit#

Docker Hub ogranicza anonimowe pobieranie obrazów do 100 na 6 godzin na adres IP. Poczekaj albo zaloguj się kontem Docker Hub: docker login.

no space left on device#

Dysk jest pełny. Sprawdź, co go zajmuje (docker system df, df -h), i posprzątaj zgodnie z sekcją Zwalnianie miejsca na dysku. Jeśli miejsca naprawdę brakuje, zwiększ RAM w zakładce Zmiana pakietu; rozmiar dysku rośnie razem z pamięcią.

Dalsza lektura#

• Docker: instalacja Docker Engine na Ubuntu (otwiera się w nowym oknie)
• Docker: instalacja Docker Engine na Debianie (otwiera się w nowym oknie)
• Docker: filtrowanie pakietów i firewalle (otwiera się w nowym oknie)
• Docker: publikowanie portów (otwiera się w nowym oknie)
• Docker: dokumentacja pliku Compose (otwiera się w nowym oknie)
• Docker Hub: wordpress (otwiera się w nowym oknie)
• Docker Hub: mariadb (otwiera się w nowym oknie)