Docker na VPS — instalacja, Compose i bezpieczeństwo

Opublikowano: 8 kwietnia 2026 · Kategoria: VPS i serwery

Wymagania VPS dla Dockera

Instalacja Docker CE na Ubuntu 22.04

# 1. Zaktualizuj repozytoria i zainstaluj zależności
sudo apt-get update
sudo apt-get install -y ca-certificates curl

# 2. Dodaj klucz GPG Dockera
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
  -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

# 3. Dodaj repozytorium Docker
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] \
  https://download.docker.com/linux/ubuntu \
  $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 4. Zainstaluj Docker Engine + Compose Plugin
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io \
  docker-buildx-plugin docker-compose-plugin

# 5. Dodaj użytkownika do grupy docker (bez sudo)
sudo usermod -aG docker $USER
newgrp docker

# 6. Weryfikacja instalacji
docker --version
docker compose version
docker run hello-world

Przykładowy docker-compose.yml dla aplikacji webowej

services:
  nginx:
    image: nginx:alpine
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d:ro
      - ./certbot/conf:/etc/letsencrypt:ro
      - ./certbot/www:/var/www/certbot:ro
    depends_on:
      - app
    restart: unless-stopped

  app:
    build: .
    expose:
      - "3000"
    environment:
      - NODE_ENV=production
      - DATABASE_URL=postgresql://user:pass@db:5432/mydb
    depends_on:
      - db
    restart: unless-stopped
    mem_limit: 512m
    cpus: 1.0

  db:
    image: postgres:16-alpine
    volumes:
      - postgres_data:/var/lib/postgresql/data
    environment:
      - POSTGRES_USER=user
      - POSTGRES_PASSWORD=strongpassword
      - POSTGRES_DB=mydb
    restart: unless-stopped
    mem_limit: 256m

  redis:
    image: redis:7-alpine
    restart: unless-stopped
    mem_limit: 128m

volumes:
  postgres_data:

Bezpieczeństwo Dockera na produkcji

Problem z firewallem — Docker i UFW

Docker domyślnie manipuluje iptables bezpośrednio, omijając reguły UFW. Jeśli wyeksponujesz port w Docker (ports: "5432:5432"), będzie dostępny publicznie mimo reguły UFW blokującej port 5432.

Rozwiązanie — binduj porty tylko na localhost:

ports:
  - "127.0.0.1:5432:5432"  # Tylko localhost, nie publicznie

Limit zasobów — obowiązkowy na shared VPS

# W docker-compose.yml
mem_limit: 512m       # Limit pamięci RAM
memswap_limit: 512m   # Wyłącz swap dla kontenera
cpus: 1.5             # Limit CPU (1.5 core)

Automatyczne aktualizacje obrazów

# Watchtower — automatyczna aktualizacja kontenerów
docker run -d \
  --name watchtower \
  -v /var/run/docker.sock:/var/run/docker.sock \
  containrrr/watchtower --schedule "0 0 4 * * *" --cleanup

Najczęstsze pytania