VPS لـ Docker: من اختيار السيرفر إلى تشغيل أول حاوية

كم RAM يحتاج VPS لـ Docker؟

Docker نفسه خفيف؛ ما يستهلك الذاكرة هو ما تشغّله داخل الحاويات. اجمع احتياجات كل خدمة ثم أضف هامشًا للنظام والتحديثات. هذه قاعدتنا التقريبية في hostalu:

• 1–2 GB RAM: حاوية أو اثنتان خفيفتان، مثل موقع ثابت أو VPN أو بوت
• 4 GB RAM: مجموعة Docker نموذجية، مثل WordPress مع MariaDB، أو n8n مع PostgreSQL، مع reverse proxy
• 8 GB فأكثر: عدة تطبيقات معًا، أو قواعد بيانات أكبر، أو أدوات مراقبة، أو متجر إلكتروني
• التخزين: فضّل NVMe، واترك مساحة للصور (images) والسجلات والنسخ الاحتياطية المحلية

تثبيت Docker Engine وCompose

على Ubuntu أو Debian، ثبّت Docker Engine من المستودع الرسمي لـ Docker لا من حزمة التوزيعة القديمة، باتباع التعليمات في docs.docker.com. التثبيت يضيف تلقائيًا إضافة Compose، فتستخدم الأمر docker compose (بمسافة) بدل الأداة القديمة docker-compose.

بعد التثبيت، فعّل تشغيل Docker مع إقلاع النظام، وأنشئ مستخدمًا عاديًا للإدارة بدل العمل بحساب root دائمًا. ضع كل تطبيق في مجلد خاص به يحوي ملف compose.yaml وملف ‎.env للمتغيرات، فيسهل نسخه ونقله إلى سيرفر آخر لاحقًا.

Reverse proxy: Caddy أو Traefik

بدل كشف منفذ كل تطبيق للإنترنت، ضع أمامها reverse proxy واحدًا يستقبل الطلبات على المنفذين 80 و443 ويوجّهها إلى الحاوية الصحيحة حسب الدومين، ويحصل على شهادات HTTPS من Let’s Encrypt تلقائيًا.

Caddy هو الأبسط: ملف إعداد قصير لكل دومين، وHTTPS يعمل دون جهد. Traefik يقرأ الإعدادات من labels الحاويات نفسها، وهو مناسب إن كنت تضيف وتحذف خدمات كثيرًا. كلاهما يعمل جيدًا كحاوية ضمن Compose.

Volumes والنسخ الاحتياطي

الحاويات مؤقتة بطبيعتها: إن حذفتها وأعدت إنشاءها تختفي أي بيانات لم تُحفظ في volume. لذلك احفظ قواعد البيانات والملفات المرفوعة والإعدادات في volumes أو مجلدات مربوطة (bind mounts).

النسخ الاحتياطي يجب أن يكون خارج السيرفر نفسه. لقطات المزوّد مفيدة، لكنها لا تكفي وحدها.

• قواعد البيانات: استخدم أداة التصدير الخاصة بها (مثل pg_dump أو mysqldump) بدل نسخ الملفات أثناء التشغيل
• انسخ volumes وملفات compose.yaml و‎.env إلى تخزين خارجي بأداة مثل restic أو borg
• جدول النسخ تلقائيًا، وجرّب الاستعادة فعلًا مرة على الأقل

أمان Docker على VPS

أخطر خطأ شائع هو كشف Docker socket أو واجهة Docker API للإنترنت: من يصل إليها يتحكم بالسيرفر كله عمليًا. لا تربط ‎/var/run/docker.sock بحاوية إلا إن كنت تثق بها تمامًا وتحتاجها فعلًا، مثل Traefik، ولا تفتح منفذ Docker API للعموم.

وانتبه إلى أن Docker يعدّل قواعد جدار الحماية بنفسه، فالمنافذ التي تنشرها بالخيار ports قد تتجاوز قواعد ufw. انشر للإنترنت منفذي reverse proxy فقط، واربط قواعد البيانات بشبكة Docker الداخلية أو بعنوان 127.0.0.1.

• دخول SSH بالمفاتيح وتعطيل كلمات المرور
• تحديث النظام والصور بانتظام، واستخدام صور رسمية أو موثوقة
• كلمات مرور قوية لقواعد البيانات في ملف ‎.env لا يدخل مستودع git