Docker a Docker Compose na VPS: inštalácia a prvá aplikácia

Docker spúšťa aplikácie v izolovaných kontajneroch, ktoré si so sebou nesú všetko potrebné. Nainštalujeme ho z oficiálneho repozitára, cez Docker Compose spustíme WordPress s databázou a prejdeme správu, aktualizácie, firewall a zálohy.

Ako to funguje#

Inštalácia#

Docker inštalujte z oficiálneho repozitára Dockeru. Balík docker.io z repozitára distribúcie býva starší a koliduje s oficiálnymi balíkmi.

Najprv odstráňte prípadné kolidujúce balíky. Na čistom VPS príkaz nič nenájde, to je v poriadku.

• dpkg --get-selections … – vypíše z uvedených balíkov tie, ktoré sú nainštalované.
• | cut -f1 – nechá z výpisu iba názvy balíkov.
• apt remove $(…) – odinštaluje ich. Dáta v /var/lib/docker zostanú.

Potom pridajte repozitár Dockeru a nainštalujte ho:

Čo jednotlivé riadky robia:

Docker sa po inštalácii sám spustí a zapne po štarte VPS. Overte inštaláciu:

docker run --rm hello-world
docker compose version

• docker run --rm hello-world – stiahne testovací obraz a spustí ho; --rm kontajner po skončení zmaže. Uvidíte Hello from Docker!.
• docker compose version – vypíše verziu Compose, napríklad Docker Compose version v5.…. Po verzii 2 prešiel Compose rovno na číslo 5, staršie inštalácie preto ukazujú v2.…. Príkazy v návode fungujú v oboch.

Prvá aplikácia: WordPress s MariaDB#

Projekt a heslá#

1. Vytvorte priečinok projektu a prejdite doň:

   mkdir -p /opt/wordpress
   cd /opt/wordpress

   Názov priečinka (wordpress) sa stane názvom projektu Compose a predponou názvov kontajnerov a volumes.

2. Vytvorte súbor s heslami nano .env. Heslá vygenerujte v generátore hesiel (iba písmená a číslice):

   DB_PASSWORD=<HESLO_DATABAZE>
   DB_ROOT_PASSWORD=<HESLO_ROOT_DATABAZE>

   • DB_PASSWORD – heslo databázového používateľa WordPressu.
   • DB_ROOT_PASSWORD – heslo používateľa root vnútri databázového kontajnera (na zálohy a správu).

3. Obmedzte čítanie súboru iba na roota:

   chmod 600 .env

Súbor compose.yaml#

Vytvorte nano compose.yaml s obsahom:

services:
  db:
    image: mariadb:lts
    restart: unless-stopped
    environment:
      MARIADB_DATABASE: wordpress
      MARIADB_USER: wordpress
      MARIADB_PASSWORD: ${DB_PASSWORD}
      MARIADB_ROOT_PASSWORD: ${DB_ROOT_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql
    healthcheck:
      test: ["CMD", "healthcheck.sh", "--connect", "--innodb_initialized"]
      start_period: 10s
      interval: 10s
      timeout: 5s
      retries: 3

  wordpress:
    image: wordpress:latest
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
    ports:
      - "127.0.0.1:8080:80"
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_USER: wordpress
      WORDPRESS_DB_PASSWORD: ${DB_PASSWORD}
      WORDPRESS_DB_NAME: wordpress
    volumes:
      - wp_data:/var/www/html

volumes:
  db_data:
  wp_data:

Riadok po riadku:

Spustenie#

docker compose up -d
docker compose ps

• docker compose up -d – stiahne obrazy, vytvorí sieť, volumes a kontajnery a spustí ich na pozadí (-d, detached).
• docker compose ps – vypíše kontajnery projektu a ich stav. Pri db uvidíte healthy, pri wordpress Up.

Kontrola z VPS: curl -I http://127.0.0.1:8080 vráti hlavičky odpovede WordPressu (presmerovanie na inštaláciu).

Sprístupnenie cez Nginx a HTTPS#

WordPress teraz počúva iba na 127.0.0.1:8080. Sprístupníte ho cez Nginx ako reverse proxy podľa návodu Nginx a HTTPS: v konfigurácii použite proxy_pass http://127.0.0.1:8080; a doménu, napríklad blog.example.cz, a potom získajte certifikát cez certbot --nginx -d blog.example.cz.

Obraz WordPressu sám rozpozná HTTPS z hlavičky X-Forwarded-Proto, ktorú Nginx podľa návodu posiela. Nakoniec otvorte https://blog.example.cz a dokončite inštaláciu WordPressu v prehliadači.

Správa kontajnerov#

Príkazy docker compose spúšťajte v priečinku projektu (cd /opt/wordpress).

Aktualizácia na nové verzie obrazov:

docker compose pull
docker compose up -d
docker image prune -f

• docker compose pull – stiahne nové verzie obrazov.
• docker compose up -d – vytvorí znova kontajnery, ktoré majú novší obraz. Dáta vo volumes zostanú.
• docker image prune -f – zmaže staré, už nepoužívané obrazy; -f bez potvrdenia.

Možnosti nastavenia restart::

Porty a firewall#

Docker publikuje porty kontajnerov vlastnými pravidlami firewallu, ktoré obchádzajú UFW. Port publikovaný ako 8080:80 je dostupný z internetu, aj keď ho v UFW nepovolíte. Podrobne to vysvetľuje návod Firewall UFW.

Databázu a ďalšie interné služby nepublikujte vôbec. Porty, ktoré majú byť verejné (napríklad herný server v kontajneri), obmedzujte firewallom v zákazníckom účte (návod). Ten stojí pred VPS a Docker ho obísť nemôže.

Upratovanie miesta na disku#

Obrazy, zastavené kontajnery a logy časom zaberú veľa miesta.

docker system df
docker system prune

• docker system df – koľko miesta zaberajú obrazy, kontajnery, volumes a cache.
• docker system prune – po potvrdení zmaže zastavené kontajnery, nepoužívané siete, obrazy bez názvu a cache zostavovania. Volumes s dátami bez prepínača --volumes nemaže.

Logy kontajnerov sa v predvolenom nastavení neotáčajú a môžu zaplniť disk. Nastavte ovládač local, ktorý staré logy maže sám (v predvolenom stave drží najviac 5 súborov po 20 MB na kontajner). Vytvorte súbor nano /etc/docker/daemon.json s obsahom nižšie. Ak súbor už existuje, neprepisujte ho, iba doň doplňte riadok "log-driver" (položky oddelené čiarkou):

{
  "log-driver": "local"
}

Potom reštartujte Docker (systemctl restart docker) a kontajnery vytvorte znova (docker compose up -d --force-recreate). Nastavenie platí iba pre novo vytvorené kontajnery.

Zálohy#

Zálohujte volumes, nie kontajnery. Kontajner vytvoríte znova z obrazu, dáta nie.

1. Vytvorte priečinok pre zálohy: mkdir -p /root/zalohy.

2. Databázu zálohujte exportom (konzistentnejšie než kópia súborov):

   cd /opt/wordpress
   docker compose exec -T db sh -c 'exec mariadb-dump --single-transaction --all-databases -uroot -p"$MARIADB_ROOT_PASSWORD"' > /root/zalohy/wp-db-$(date +%F).sql

   • docker compose exec -T db – spustí príkaz v kontajneri db; -T vypne terminál, aby sa výstup dal presmerovať do súboru.
   • sh -c '…' – príkaz prebehne v shelli kontajnera, kde je premenná $MARIADB_ROOT_PASSWORD nastavená.
   • mariadb-dump --single-transaction --all-databases – export všetkých databáz bez zamykania.
   • > /root/zalohy/… – výstup sa uloží na VPS mimo kontajnera.

3. Súbory WordPressu zálohujte zabalením volume:

   docker run --rm -v wordpress_wp_data:/data:ro -v /root/zalohy:/backup alpine tar czf /backup/wp-files-$(date +%F).tar.gz -C /data .

   • docker run --rm – spustí jednorazový kontajner, ktorý sa po skončení zmaže.
   • -v wordpress_wp_data:/data:ro – pripojí volume wp_data projektu wordpress iba na čítanie (ro).
   • -v /root/zalohy:/backup – pripojí priečinok záloh z VPS.
   • alpine tar czf … -C /data . – v malom obraze Alpine zabalí obsah volume do archívu.

   Presné názvy volumes vypíše docker volume ls.

Automatické spúšťanie záloh cronom a ich prenos mimo VPS opisuje návod Zálohy na VPS.

Overenie#

• docker compose ps ukazuje oba kontajnery ako bežiace, databázu ako healthy.
• https://blog.example.cz zobrazí WordPress so zámkom v adresnom riadku.
• Po reštarte VPS (reboot) sa kontajnery spustia samy.
• Z iného počítača sa na http://<IP_ADRESA_VPS>:8080 nepripojíte (port je iba na 127.0.0.1).

Keď niečo nefunguje#

permission denied while trying to connect to the Docker daemon socket#

Nie ste root a váš používateľ nie je v skupine docker. Spustite príkaz cez sudo, alebo sa prihláste ako root.

Bind for 127.0.0.1:8080 failed: port is already allocated alebo address already in use#

Port 8080 už používa iný kontajner (prvé hlásenie) alebo iný program na VPS (druhé hlásenie). Zistite ktorý (ss -tlnp | grep 8080, docker ps) a v compose.yaml zvoľte iný port, napríklad 127.0.0.1:8081:80. Potom upravte aj proxy_pass v Nginxe.

WordPress hlási „Error establishing a database connection“#

Databáza ešte nie je pripravená alebo nesedia prihlasovacie údaje. Pozrite sa do logu databázy (docker compose logs db). Ak ste menili heslo v .env až po prvom štarte, databáza má stále staré heslo (pozri upozornenie v kapitole Spustenie).

Kontajner je stále v stave Restarting#

Aplikácia v kontajneri hneď po štarte padá. Príčinu nájdete v logu: docker compose logs --tail 50 <NAZEV_SLUZBY>.

toomanyrequests: You have reached your unauthenticated pull rate limit#

Docker Hub obmedzuje sťahovanie obrazov bez prihlásenia na 100 za 6 hodín z jednej IP adresy. Počkajte, alebo sa prihláste svojím účtom Docker Hubu: docker login.

no space left on device#

Došlo miesto na disku. Zistite, čo ho zaberá (docker system df, df -h), a uprac­te podľa kapitoly Upratovanie miesta na disku. Ak miesto naozaj chýba, navýšte RAM v záložke Zmena balíka, disk rastie s pamäťou.

Ďalšie zdroje#

• Docker: Install Docker Engine on Ubuntu (otvorí sa v novom okne)
• Docker: Install Docker Engine on Debian (otvorí sa v novom okne)
• Docker: Packet filtering and firewalls (otvorí sa v novom okne)
• Docker: Port publishing (otvorí sa v novom okne)
• Docker: Compose file reference (otvorí sa v novom okne)
• Docker Hub: wordpress (otvorí sa v novom okne)
• Docker Hub: mariadb (otvorí sa v novom okne)