Autonomiczny serwer domowy Docker-Compose z Traefik, SSL i Watchtower

Przegląd architektury: Projekt autonomicznego serwera domowego na Raspberry Pi

Wdrożenie samodzielnie hostowanego laboratorium domowego na platformie Raspberry Pi wymaga zastosowania odpornej na awarie i bezobsługowej architektury orkiestracji. Udostępnianie wewnętrznych kontenerów Docker w sieci lokalnej lub publicznej bez centralnego terminowania ruchu SSL/TLS podnosi stopień skomplikowania administracji i rodzi poważne zagrożenia bezpieczeństwa. Ręczne odnawianie certyfikatów, statyczna konfiguracja serwerów proxy oraz manualne aktualizacje kontenerów nieuchronnie prowadzą do przerw w świadczeniu usług i wygasania certyfikatów kryptograficznych.

Autonomiczna architektura serwera domowego łączy trzy kluczowe technologie w ramach jednego deklaratywnego stosu Docker Compose: Traefik v3 działa jako dynamiczny router brzegowy, który monitoruje gniazdo systemu Docker i kieruje przychodzący ruch HTTP/HTTPS na podstawie etykiet kontenerów. Integracja z Let’s Encrypt ACME automatyzuje generowanie oraz odnawianie certyfikatów SSL za pomocą weryfikacji HTTP-01 lub DNS-01; natomiast Watchtower zapewnia automatyczne zarządzanie cyklem życia aplikacji poprzez regularne sprawdzanie rejestrów obrazów i bezkolizyjne aktualizowanie kontenerów bez interwencji manualnej.

Instrukcja wdrożenia krok po kroku

Krok 1: Przygotowanie systemu i architektura systemu plików

W celu zapewnienia trwałości danych oraz czystego podziału ról na hostującym urządzeniu Raspberry Pi, konieczne jest utworzenie standardowej struktury katalogów w ścieżce /opt/containers/:

mkdir -p /opt/containers/traefik/data
mkdir -p /opt/containers/watchtower
touch /opt/containers/traefik/data/acme.json
chmod 600 /opt/containers/traefik/data/acme.json

Krytyczna uwaga dotycząca bezpieczeństwa: Plik acme.json, w którym przechowywane są prywatne klucze kryptograficzne Let’s Encrypt, musi posiadać uprawnienia ograniczone rygorystycznie do wartości 600. Usługa Traefik odmówi uruchomienia, jeśli prawa odczytu i zapisu będą zbyt szerokie.

Krok 2: Projektowanie dynamicznego routera brzegowego Traefik v3

Infrastruktura routingu definiowana jest w pliku docker-compose.yml zlokalizowanym w katalogu /opt/containers/traefik/. Konfiguracja ta określa punkty wejściowe dla portu 80 (HTTP) z obowiązkowym przekierowaniem na port 443 (HTTPS), aktywuje automatyczną weryfikację Let’s Encrypt HTTP-01 oraz zamieszcza gniazdo uniksowe Dockera w trybie tylko do odczytu:

services:
  traefik:
    image: traefik:v3.1
    container_name: traefik
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true
    networks:
      - proxy
    ports:
      - "80:80"
      - "443:443"
    command:
      - "--api.dashboard=true"
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      - "--providers.docker.network=proxy"
      - "--entrypoints.web.address=:80"
      - "--entrypoints.web.http.redirections.entryPoint.to=websecure"
      - "--entrypoints.web.http.redirections.entryPoint.scheme=https"
      - "--entrypoints.websecure.address=:443"
      - "--certificatesresolvers.myresolver.acme.httpchallenge=true"
      - "--certificatesresolvers.myresolver.acme.httpchallenge.entrypoint=web"
      - "--certificatesresolvers.myresolver.acme.email=admin@lukaswojcik.com"
      - "--certificatesresolvers.myresolver.acme.storage=/data/acme.json"
    volumes:
      - "/var/run/docker.sock:/var/run/docker.sock:ro"
      - "/opt/containers/traefik/data:/data"
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.dashboard.rule=Host(`proxy.lukaswojcik.com`)"
      - "traefik.http.routers.dashboard.service=api@internal"
      - "traefik.http.routers.dashboard.entrypoints=websecure"
      - "traefik.http.routers.dashboard.tls.certresolver=myresolver"
      - "traefik.http.routers.dashboard.middlewares=dashboard-ip"
      - "traefik.http.middlewares.dashboard-ip.ipallowlist.sourcerange=192.168.0.0/16, 10.0.0.0/8"

networks:
  proxy:
    external: true

Krok 3: Tworzenie zewnętrznej sieci Docker Proxy

Przed uruchomieniem stosu usług konieczne jest zainicjowanie izolowanej sieci mostkowej w systemie gospodarza, co pozwoli usłudze Traefik na bezpieczną komunikację z podrzędnymi kontenerami aplikacji:

docker network create proxy

Krok 4: Integracja narzędzia Watchtower w celu automatyzacji cyklu życia

Aby wyeliminować konieczność ręcznego kontrolowania i instalowania aktualizacji kontenerów, narzędzie Watchtower jest dodawane w charakterze autonomicznej usługi tła. Ponieważ pierwotne repozytorium containrrr/watchtower zostało zarchiwizowane 17 grudnia 2025 roku i nie otrzymuje już poprawek ani aktualizacji bezpieczeństwa, wykorzystywany jest tutaj aktywnie rozwijany fork nickfedor/watchtower, który zastępuje je bez zmian w konfiguracji. Skrypt sprawdza skonfigurowane rejestry co 24 godziny (86400 sekund), pobiera zaktualizowane obrazy zgodne z aktualnymi etykietami, w sposób kontrolowany wyłącza stare instancje kontenerów oraz automatycznie usuwa osierocone obrazy z dysku:

services:
  watchtower:
    image: nickfedor/watchtower:latest
    container_name: watchtower
    restart: unless-stopped
    volumes:
      - "/var/run/docker.sock:/var/run/docker.sock"
    environment:
      - WATCHTOWER_CLEANUP=true
      - WATCHTOWER_POLL_INTERVAL=86400
      - WATCHTOWER_INCLUDE_RESTARTING=true
      - WATCHTOWER_ROLLING_RESTART=true

Krok 5: Wdrożenie bezpiecznego mikroserwisu docelowego przez etykiety

W celu podłączenia dowolnej własnej aplikacji do routera brzegowego Traefik bez edytowania centralnych plików konfiguracyjnych proxy, dynamiczne etykiety routingu deklaruje się bezpośrednio w definicji kontenera docelowego:

services:
  whoami:
    image: traefik/whoami:latest
    container_name: whoami
    restart: unless-stopped
    networks:
      - proxy
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.whoami.rule=Host(`whoami.lukaswojcik.com`)"
      - "traefik.http.routers.whoami.entrypoints=websecure"
      - "traefik.http.routers.whoami.tls.certresolver=myresolver"
      - "traefik.http.services.whoami.loadbalancer.server.port=80"

networks:
  proxy:
    external: true

Krok 6: Kontrola jakości i audyt systemu

Po uruchomieniu usług poleceniem docker compose up -d cała infrastruktura musi zostać systematycznie zweryfikowana:

1. Weryfikacja wydawania certyfikatów: Sprawdzenie logów kontenera poleceniem docker logs -f traefik w celu potwierdzenia pomyślnego ukończenia weryfikacji Let’s Encrypt ACME oraz upewnienie się, że plik acme.json zawiera poprawne certyfikaty RSA/ECDSA.
2. Audyt automatycznych przekierowań: Wykonanie zapytania cURL przez czyste HTTP (curl -I http://whoami.lukaswojcik.com) w celu potwierdzenia natychmiastowego zwrotu nagłówka 308 Permanent Redirect lub 301 Moved Permanently kierującego na HTTPS.
3. Symulacja wyzwolenia aktualizacji: Wykonanie jednorazowego, nieingerującego przebiegu narzędzia Watchtower poleceniem docker exec -it watchtower /watchtower --run-once --monitor-only w celu weryfikacji poprawności uprawnień dostępu do gniazda Dockera. Flaga --no-pull nie nadaje się do tego celu: blokuje jedynie pobieranie obrazów z rejestru, natomiast nowszy obraz obecny już lokalnie nadal prowadzi do zatrzymania i odtworzenia kontenera.

Podsumowanie i mierzalna wartość dodana

Co da się osiągnąć dzięki instrukcji: Całkowite zastąpienie ręcznej konfiguracji routingu proxy, awaryjnych skryptów odnawiających certyfikaty SSL oraz manualnych aktualizacji kontenerów przez autonomiczną, deklaratywną infrastrukturę Docker Compose opartą na rozwiązaniach Traefik v3 i Watchtower.

Resultujący wartość dodana:

• Bezobsługowe utrzymanie SSL/TLS: Certyfikaty kryptograficzne są automatycznie wnioskowane, wdrażane i odnawiane przez Let’s Encrypt, zapobiegając ostrzeżeniom przeglądarek i przerwom w dostępności usług.
• Dynamiczne wykrywanie serwisów: Nowe aplikacje na serwerze domowym są natychmiast kierowane i szyfrowane poprzez dodanie etykiet Docker, co eliminuje konieczność edycji plików Nginx/Apache oraz przeładowywania serwera.
• Ciągłe, automatyczne łatanie luk: Poprawki bezpieczeństwa oraz aktualizacje aplikacji są wdrażane automatycznie w ciągu 24 godzin od publikacji w rejestrach nadrzędnych, skutecznie zabezpieczając Raspberry Pi przed znanymi podatnościami. Gwarancja ta obowiązuje jedynie tak długo, jak samo narzędzie aktualizujące jest rozwijane; dlatego miejsce zarchiwizowanego oryginału zajmuje aktywnie utrzymywany fork nickfedor/watchtower.