VPS voor Docker: kiezen, installeren en veilig draaien

Hoeveel RAM heeft je Docker-stack nodig?

Docker zelf gebruikt weinig geheugen; het zijn de containers die tellen. Tel op wat elke service nodig heeft en houd marge voor het besturingssysteem en pieken. Onze vuistregels:

• 1 tot 2 GB: één kleine container, zoals een statische site, een bot of een VPN
• 4 GB: een gewone stack met een webapp, een database en een reverse proxy, of n8n met zijn database
• 8 GB of meer: webshops, zwaardere databases, zoekmachines als Elasticsearch of veel services tegelijk

Docker Engine en Compose installeren

Gebruik op een Linux-VPS de officiële repository van Docker in plaats van het pakket uit je distributie; dat is vaak verouderd. Docker publiceert installatie-instructies voor Ubuntu, Debian en andere distributies. Je installeert daarmee Docker Engine en de Compose-plugin in één keer.

Leg je hele stack vast in een compose.yaml-bestand: welke images, welke poorten, welke volumes en welke omgevingsvariabelen. Met docker compose up -d start je alles, en omdat het bestand in versiebeheer kan, kun je je server later in een paar minuten opnieuw opbouwen. Zet wachtwoorden en API-sleutels in een apart .env-bestand dat je niet in je repository opneemt.

Een reverse proxy: Caddy of Traefik

Draai je meerdere webapps op één VPS, dan wil je niet voor elke app een andere poort openzetten. Een reverse proxy luistert op poort 80 en 443 en stuurt verkeer op basis van de domeinnaam door naar de juiste container. Bovendien regelt hij automatisch gratis HTTPS-certificaten via Let’s Encrypt.

Caddy is de eenvoudigste keuze: een paar regels configuratie per domein en HTTPS werkt vanzelf. Traefik past goed bij Docker omdat hij containers automatisch herkent via labels in je compose-bestand. Beide zijn prima; kies wat je het prettigst vindt.

Volumes en back-ups

Containers zijn wegwerpbaar, je data niet. Alles wat moet blijven bestaan, zoals databases, uploads en configuratie, hoort in een volume of een gekoppelde map. Verwijder je een container zonder volume, dan ben je die data kwijt.

Maak daarom regelmatig back-ups van je volumes, bij voorkeur naar een andere locatie dan de VPS zelf, bijvoorbeeld objectopslag. Maak van databases een echte dump in plaats van alleen de bestanden te kopiëren terwijl de database draait. Veel aanbieders bieden ook back-ups of snapshots van de hele server; volgens onze gegevens zitten bij Hostinger bijvoorbeeld gratis wekelijkse back-ups in de VPS-pakketten. Dat is een goede extra laag, maar geen vervanging van je eigen back-ups.

Veiligheid: zet de Docker-socket nooit open

De Docker-socket geeft volledige controle over de server. Wie erbij kan, kan elke container starten en zo root-toegang krijgen. Houd dus rekening met deze basisregels:

• Stel de Docker-API nooit zonder beveiliging bloot aan het internet
• Koppel /var/run/docker.sock alleen aan containers die het echt nodig hebben, zoals Traefik, en dan liefst alleen-lezen
• Let op: Docker kan poorten openzetten langs je firewall (zoals ufw) heen; bind databases aan 127.0.0.1 of een intern netwerk
• Gebruik officiële of goed onderhouden images en werk ze regelmatig bij
• Log in met SSH-sleutels en schakel inloggen met een wachtwoord uit

Welke VPS kies je voor Docker?

Voor Docker heb je een VPS met KVM-virtualisatie nodig, en dat is bij de meeste moderne aanbieders standaard. Let verder vooral op RAM en opslag. Contabo geeft volgens onze gegevens veel RAM en opslag per euro, Hostinger heeft NVMe-opslag en gratis wekelijkse back-ups, OVHcloud biedt onbeperkt verkeer met DDoS-bescherming en DigitalOcean rekent per seconde af, handig voor testomgevingen. De Serverkiezer rekent uit wat je stack nodig heeft.