{"id":529,"date":"2026-10-05T18:35:00","date_gmt":"2026-10-05T16:35:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/?page_id=529"},"modified":"2026-09-25T10:49:12","modified_gmt":"2026-09-25T08:49:12","slug":"autonomiczny-serwer-domowy-docker-compose-z-traefik-ssl-i-watchtower","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/raspberry-pi-pl\/tutorials-pl-raspberry-pi-pl\/autonomiczny-serwer-domowy-docker-compose-z-traefik-ssl-i-watchtower\/","title":{"rendered":"Autonomiczny serwer domowy Docker-Compose z Traefik, SSL i Watchtower"},"content":{"rendered":"

Przegl\u0105d architektury: Projekt autonomicznego serwera domowego na Raspberry Pi<\/h2>\n

Wdro\u017cenie samodzielnie hostowanego laboratorium domowego na platformie Raspberry Pi wymaga zastosowania odpornej na awarie i bezobs\u0142ugowej architektury orkiestracji. Udost\u0119pnianie wewn\u0119trznych kontener\u00f3w Docker w sieci lokalnej lub publicznej bez centralnego terminowania ruchu SSL\/TLS podnosi stopie\u0144 skomplikowania administracji i rodzi powa\u017cne zagro\u017cenia bezpiecze\u0144stwa. R\u0119czne odnawianie certyfikat\u00f3w, statyczna konfiguracja serwer\u00f3w proxy oraz manualne aktualizacje kontener\u00f3w nieuchronnie prowadz\u0105 do przerw w \u015bwiadczeniu us\u0142ug i wygasania certyfikat\u00f3w kryptograficznych.<\/p>\n

Autonomiczna architektura serwera domowego \u0142\u0105czy trzy kluczowe technologie w ramach jednego deklaratywnego stosu Docker Compose: Traefik v3<\/strong> dzia\u0142a jako dynamiczny router brzegowy, kt\u00f3ry monitoruje gniazdo systemu Docker i kieruje przychodz\u0105cy ruch HTTP\/HTTPS na podstawie etykiet kontener\u00f3w. Integracja z Let’s Encrypt ACME<\/strong> automatyzuje generowanie oraz odnawianie certyfikat\u00f3w SSL za pomoc\u0105 weryfikacji HTTP-01 lub DNS-01; natomiast Watchtower<\/strong> zapewnia automatyczne zarz\u0105dzanie cyklem \u017cycia aplikacji poprzez regularne sprawdzanie rejestr\u00f3w obraz\u00f3w i bezkolizyjne aktualizowanie kontener\u00f3w bez interwencji manualnej.<\/p>\n

\n\"\u015acie\u017cka
\u015acie\u017cka \u017c\u0105dania na serwerze domowym: Traefik terminuje TLS na porcie 443, sam odnawia certyfikat Let’s Encrypt i znajduje cele routingu wy\u0142\u0105cznie przez etykiety Dockera. Watchtower w tle utrzymuje aktualne obrazy.<\/figcaption><\/figure>\n

Instrukcja wdro\u017cenia krok po kroku<\/h2>\n

Krok 1: Przygotowanie systemu i architektura systemu plik\u00f3w<\/h3>\n

W celu zapewnienia trwa\u0142o\u015bci danych oraz czystego podzia\u0142u r\u00f3l na hostuj\u0105cym urz\u0105dzeniu Raspberry Pi, konieczne jest utworzenie standardowej struktury katalog\u00f3w w \u015bcie\u017cce \/opt\/containers\/<\/code>:<\/p>\n

mkdir -p \/opt\/containers\/traefik\/data\nmkdir -p \/opt\/containers\/watchtower\ntouch \/opt\/containers\/traefik\/data\/acme.json\nchmod 600 \/opt\/containers\/traefik\/data\/acme.json<\/code><\/pre>\n
Krytyczna uwaga dotycz\u0105ca bezpiecze\u0144stwa:<\/em> Plik acme.json<\/code>, w kt\u00f3rym przechowywane s\u0105 prywatne klucze kryptograficzne Let’s Encrypt, musi posiada\u0107 uprawnienia ograniczone rygorystycznie do warto\u015bci 600<\/code>. Us\u0142uga Traefik odm\u00f3wi uruchomienia, je\u015bli prawa odczytu i zapisu b\u0119d\u0105 zbyt szerokie.<\/p>\n
Krok 2: Projektowanie dynamicznego routera brzegowego Traefik v3<\/h3>\n
Infrastruktura routingu definiowana jest w pliku docker-compose.yml<\/code> zlokalizowanym w katalogu \/opt\/containers\/traefik\/<\/code>. Konfiguracja ta okre\u015bla punkty wej\u015bciowe dla portu 80 (HTTP) z obowi\u0105zkowym przekierowaniem na port 443 (HTTPS), aktywuje automatyczn\u0105 weryfikacj\u0119 Let’s Encrypt HTTP-01 oraz zamieszcza gniazdo uniksowe Dockera w trybie tylko do odczytu:<\/p>\n
services:\n  traefik:\n    image: traefik:v3.1\n    container_name: traefik\n    restart: unless-stopped\n    security_opt:\n      - no-new-privileges:true\n    networks:\n      - proxy\n    ports:\n      - \"80:80\"\n      - \"443:443\"\n    command:\n      - \"--api.dashboard=true\"\n      - \"--providers.docker=true\"\n      - \"--providers.docker.exposedbydefault=false\"\n      - \"--providers.docker.network=proxy\"\n      - \"--entrypoints.web.address=:80\"\n      - \"--entrypoints.web.http.redirections.entryPoint.to=websecure\"\n      - \"--entrypoints.web.http.redirections.entryPoint.scheme=https\"\n      - \"--entrypoints.websecure.address=:443\"\n      - \"--certificatesresolvers.myresolver.acme.httpchallenge=true\"\n      - \"--certificatesresolvers.myresolver.acme.httpchallenge.entrypoint=web\"\n      - \"--certificatesresolvers.myresolver.acme.email=admin@lukaswojcik.com\"\n      - \"--certificatesresolvers.myresolver.acme.storage=\/data\/acme.json\"\n    volumes:\n      - \"\/var\/run\/docker.sock:\/var\/run\/docker.sock:ro\"\n      - \"\/opt\/containers\/traefik\/data:\/data\"\n    labels:\n      - \"traefik.enable=true\"\n      - \"traefik.http.routers.dashboard.rule=Host(`proxy.lukaswojcik.com`)\"\n      - \"traefik.http.routers.dashboard.service=api@internal\"\n      - \"traefik.http.routers.dashboard.entrypoints=websecure\"\n      - \"traefik.http.routers.dashboard.tls.certresolver=myresolver\"\n      - \"traefik.http.routers.dashboard.middlewares=dashboard-ip\"\n      - \"traefik.http.middlewares.dashboard-ip.ipallowlist.sourcerange=192.168.0.0\/16, 10.0.0.0\/8\"\n\nnetworks:\n  proxy:\n    external: true<\/code><\/pre>\n
Krok 3: Tworzenie zewn\u0119trznej sieci Docker Proxy<\/h3>\n
Przed uruchomieniem stosu us\u0142ug konieczne jest zainicjowanie izolowanej sieci mostkowej w systemie gospodarza, co pozwoli us\u0142udze Traefik na bezpieczn\u0105 komunikacj\u0119 z podrz\u0119dnymi kontenerami aplikacji:<\/p>\n
docker network create proxy<\/code><\/pre>\n
Krok 4: Integracja narz\u0119dzia Watchtower w celu automatyzacji cyklu \u017cycia<\/h3>\n
Aby wyeliminowa\u0107 konieczno\u015b\u0107 r\u0119cznego kontrolowania i instalowania aktualizacji kontener\u00f3w, narz\u0119dzie Watchtower jest dodawane w charakterze autonomicznej us\u0142ugi t\u0142a. Poniewa\u017c pierwotne repozytorium containrrr\/watchtower<\/code> zosta\u0142o zarchiwizowane 17 grudnia 2025 roku i nie otrzymuje ju\u017c poprawek ani aktualizacji bezpiecze\u0144stwa, wykorzystywany jest tutaj aktywnie rozwijany fork nickfedor\/watchtower<\/code>, kt\u00f3ry zast\u0119puje je bez zmian w konfiguracji. Skrypt sprawdza skonfigurowane rejestry co 24 godziny (86400 sekund), pobiera zaktualizowane obrazy zgodne z aktualnymi etykietami, w spos\u00f3b kontrolowany wy\u0142\u0105cza stare instancje kontener\u00f3w oraz automatycznie usuwa osierocone obrazy z dysku:<\/p>\n
services:\n  watchtower:\n    image: nickfedor\/watchtower:latest\n    container_name: watchtower\n    restart: unless-stopped\n    volumes:\n      - \"\/var\/run\/docker.sock:\/var\/run\/docker.sock\"\n    environment:\n      - WATCHTOWER_CLEANUP=true\n      - WATCHTOWER_POLL_INTERVAL=86400\n      - WATCHTOWER_INCLUDE_RESTARTING=true\n      - WATCHTOWER_ROLLING_RESTART=true<\/code><\/pre>\n
Krok 5: Wdro\u017cenie bezpiecznego mikroserwisu docelowego przez etykiety<\/h3>\n
W celu pod\u0142\u0105czenia dowolnej w\u0142asnej aplikacji do routera brzegowego Traefik bez edytowania centralnych plik\u00f3w konfiguracyjnych proxy, dynamiczne etykiety routingu deklaruje si\u0119 bezpo\u015brednio w definicji kontenera docelowego:<\/p>\n
services:\n  whoami:\n    image: traefik\/whoami:latest\n    container_name: whoami\n    restart: unless-stopped\n    networks:\n      - proxy\n    labels:\n      - \"traefik.enable=true\"\n      - \"traefik.http.routers.whoami.rule=Host(`whoami.lukaswojcik.com`)\"\n      - \"traefik.http.routers.whoami.entrypoints=websecure\"\n      - \"traefik.http.routers.whoami.tls.certresolver=myresolver\"\n      - \"traefik.http.services.whoami.loadbalancer.server.port=80\"\n\nnetworks:\n  proxy:\n    external: true<\/code><\/pre>\n
Krok 6: Kontrola jako\u015bci i audyt systemu<\/h3>\n
Po uruchomieniu us\u0142ug poleceniem docker compose up -d<\/code> ca\u0142a infrastruktura musi zosta\u0107 systematycznie zweryfikowana:<\/p>\n
    \n
  1. Weryfikacja wydawania certyfikat\u00f3w:<\/strong> Sprawdzenie log\u00f3w kontenera poleceniem docker logs -f traefik<\/code> w celu potwierdzenia pomy\u015blnego uko\u0144czenia weryfikacji Let’s Encrypt ACME oraz upewnienie si\u0119, \u017ce plik acme.json<\/code> zawiera poprawne certyfikaty RSA\/ECDSA.<\/li>\n
  2. Audyt automatycznych przekierowa\u0144:<\/strong> Wykonanie zapytania cURL przez czyste HTTP (curl -I http:\/\/whoami.lukaswojcik.com<\/code>) w celu potwierdzenia natychmiastowego zwrotu nag\u0142\u00f3wka 308 Permanent Redirect<\/code> lub 301 Moved Permanently<\/code> kieruj\u0105cego na HTTPS.<\/li>\n
  3. Symulacja wyzwolenia aktualizacji:<\/strong> Wykonanie jednorazowego, nieingeruj\u0105cego przebiegu narz\u0119dzia Watchtower poleceniem docker exec -it watchtower \/watchtower --run-once --monitor-only<\/code> w celu weryfikacji poprawno\u015bci uprawnie\u0144 dost\u0119pu do gniazda Dockera. Flaga --no-pull<\/code> nie nadaje si\u0119 do tego celu: blokuje jedynie pobieranie obraz\u00f3w z rejestru, natomiast nowszy obraz obecny ju\u017c lokalnie nadal prowadzi do zatrzymania i odtworzenia kontenera.<\/li>\n<\/ol>\n
    Podsumowanie i mierzalna warto\u015b\u0107 dodana<\/h2>\n
    Co da si\u0119 osi\u0105gn\u0105\u0107 dzi\u0119ki instrukcji:<\/strong> Ca\u0142kowite zast\u0105pienie r\u0119cznej konfiguracji routingu proxy, awaryjnych skrypt\u00f3w odnawiaj\u0105cych certyfikaty SSL oraz manualnych aktualizacji kontener\u00f3w przez autonomiczn\u0105, deklaratywn\u0105 infrastruktur\u0119 Docker Compose opart\u0105 na rozwi\u0105zaniach Traefik v3 i Watchtower.<\/p>\n
    Resultuj\u0105cy warto\u015b\u0107 dodana:<\/strong><\/p>\n