Šta je containerizacija i Docker za hosting

Uvod u containerizaciju

Containerizacija je tehnologija koja pakuje aplikaciju zajedno sa svim njenim zavisnostima, bibliotekama i konfiguracijama u izolovan paket koji se naziva kontejner. Kontejner sadrži sve što je potrebno da aplikacija radi identično na bilo kom sistemu bez obzira na operativni sistem ili okruženje u kome se pokreće. Ova tehnologija je revolucionisala način na koji se softver razvija, testira i deploy-uje jer eliminiše čuveni problem radi na mom računaru ali ne radi na serveru.

Koncept containerizacije postoji od ranih 2000-ih sa tehnologijama poput FreeBSD Jails i Linux Containers ali je Docker 2013. godine učinio containerizaciju pristupačnom široj zajednici programera. Danas containerizacija predstavlja standard u industriji i koriste je kompanije svih veličina od startapa do korporacija poput Google-a, Amazon-a i Netflix-a za pokretanje miliona kontejnera dnevno.

Kontejneri nasuprot virtuelnih mašina

Kako rade virtuelne mašine

Virtuelne mašine ili VM simuliraju kompletno računarsko okruženje uključujući hardver, operativni sistem, kernel i sve sistemske biblioteke. Svaka VM pokreće sopstvenu kopiju operativnog sistema na vrhu hipervizora poput VMware, Hyper-V ili KVM koji upravlja deljenjem fizičkih resursa. Ovo znači da VM sa Ubuntu-om na serveru koji pokreće CentOS mora učitati kompletan Ubuntu kernel i operativni sistem što zauzima značajne resurse RAM memorije i prostora na disku.

Kako rade kontejneri

Kontejneri dele kernel host operativnog sistema i izoluju samo aplikacijski sloj. Umesto da pokreću sopstveni OS kontejneri koriste namespace-ove i cgroups mehanizme Linux kernela za izolaciju procesa, mrežnog pristupa, fajl sistema i resursa. Kontejner sa Node.js aplikacijom sadrži samo Node.js runtime, npm pakete i kod aplikacije ali ne i ceo operativni sistem. Zato kontejneri zauzimaju samo megabajte umesto gigabajta prostora i startuju za sekunde umesto za minute kao VM.

Poređenje performansi

Kontejneri su značajno efikasniji od virtuelnih mašina po svim ključnim metrikama. Tipična VM zauzima 1 do 20 gigabajta prostora dok kontejner obično zauzima 10 do 500 megabajta. Vreme pokretanja VM je 30 sekundi do nekoliko minuta dok kontejner startuje za manje od sekunde. Na jednom fizičkom serveru možete pokrenuti desetine VM ili stotine pa čak i hiljade kontejnera. Međutim VM pruža jaču izolaciju jer svaka VM ima sopstveni kernel pa su bezbednosne posledice proboja izolacije manje ozbiljne kod VM nego kod kontejnera koji dele kernel.

Docker osnove

Šta je Docker

Docker je platforma otvorenog koda za kreiranje, distribuciju i pokretanje kontejnera. Docker ekosistem se sastoji od Docker Engine koji je runtime za pokretanje kontejnera, Docker CLI koji je komandni interfejs za upravljanje kontejnerima, Docker Hub koji je javni registar sa hiljadama gotovih kontejner slika i Docker Compose koji je alat za definisanje i pokretanje višekontejnerskih aplikacija. Docker je postao de facto standard za containerizaciju i kada ljudi govore o kontejnerima uglavnom misle na Docker kontejnere.

Docker slike i kontejneri

Docker slika ili image je šablon koji sadrži sve potrebno za pokretanje aplikacije. Slika je nepromenjiva što znači da se jednom kreirana ne može izmeniti već se kreira nova verzija. Kontejner je pokrenuta instanca slike, slično kao što je proces pokrenuta instanca programa. Iz jedne slike možete pokrenuti neograničen broj kontejnera od kojih svaki ima sopstveni fajl sistem, mrežni pristup i resurse. Slike se čuvaju u slojevima gde svaki sloj predstavlja jednu instrukciju iz Dockerfile-a što omogućava efikasno keširanje i deljenje zajedničkih slojeva između različitih slika.

Dockerfile

Dockerfile je tekstualni fajl sa instrukcijama za kreiranje Docker slike. Tipičan Dockerfile za Node.js aplikaciju počinje sa FROM node:20-alpine koji specificira baznu sliku, zatim WORKDIR /app koji postavlja radni direktorijum, COPY package*.json ./ koji kopira fajlove sa zavisnostima, RUN npm ci koji instalira zavisnosti, COPY . . koji kopira kod aplikacije i CMD node server.js koji definiše komandu za pokretanje. Svaka instrukcija kreira novi sloj u slici i Docker kešira slojeve koji se nisu promenili što ubrzava ponovne build-ove.

Docker u praksi za hosting

Primeri upotrebe

Docker se koristi u hostingu na mnogo načina. Izolacija aplikacija omogućava pokretanje više aplikacija sa različitim verzijama istog softvera na jednom VPS ili dedikovanom serveru, na primer jedne aplikacije koja zahteva PHP 7.4 i druge koja zahteva PHP 8.3 bez konflikata. Konzistentno okruženje garantuje da aplikacija radi identično na razvojnom računaru, staging serveru i produkciji jer je okruženje definisano u Dockerfile-u. Jednostavan deploy svodi se na povlačenje nove verzije slike i restart kontejnera umesto ručne konfiguracije servera. Skaliranje je trivijalno jer pokretanje dodatnih instanci zahteva samo jednu komandu.

Docker Compose za web aplikacije

Docker Compose omogućava definisanje kompletnog aplikacijskog stack-a u jednom YAML fajlu. Tipična web aplikacija se sastoji od web servera poput Nginx-a, aplikacijskog servera poput PHP-FPM ili Node.js, baze podataka poput MySQL ili PostgreSQL i cache sistema poput Redis-a. Svaki od ovih servisa se definiše kao poseban kontejner u docker-compose.yml fajlu sa mrežnim vezama, volumenim za perzistentne podatke i environment varijablama za konfiguraciju. Jedna komanda docker compose up pokreće sve servise sa pravilnom konfiguracijom i međusobnom komunikacijom.

Perzistencija podataka

Kontejneri su po prirodi efemerni što znači da se svi podaci unutar kontejnera gube kada se kontejner obriše. Za podatke koji moraju preživeti restart ili brisanje kontejnera koriste se Docker volumeni koji mapiraju direktorijum na host sistemu u kontejner. Baza podataka čuva fajlove na volumenu koji postoji nezavisno od kontejnera, upload direktorijum web aplikacije je mapiran na host fajl sistem, a log fajlovi se šalju na centralizovani logging servis. Pravilno upravljanje volumenima je ključno za produkcijski hosting jer gubitak podataka korisnika je neprihvatljiv.

Uvod u Kubernetes

Šta je Kubernetes

Kubernetes skraćeno K8s je platforma otvorenog koda za automatizovano upravljanje, skaliranje i deploy kontejnerizovanih aplikacija. Dok Docker upravlja pojedinačnim kontejnerima Kubernetes upravlja klasterima od stotina ili hiljada kontejnera raspoređenih na više servera. Google je razvio Kubernetes na osnovu internog sistema Borg koji koristi za upravljanje svojom infrastrukturom i objavio ga kao projekat otvorenog koda 2014. godine.

Ključni koncepti

Kubernetes organizuje kontejnere u pod-ove koji su najmanja jedinica deploy-a i mogu sadržati jedan ili više kontejnera koji dele resurse. Deployment definiše željeno stanje aplikacije uključujući broj replika i strategiju ažuriranja. Service obezbeđuje stabilnu mrežnu adresu za pristup pod-ovima koji se mogu kreirati i uništavati dinamički. Ingress upravlja eksternim pristupom servisima obično putem HTTP i HTTPS. Namespace-ovi omogućavaju logičku separaciju resursa unutar klastera na primer za različita okruženja ili timove.

Kubernetes za hosting

Kubernetes je prekompliciran za male sajtove ali je idealan za skalabilne aplikacije sa visokim zahtevima za dostupnost. Automatsko skaliranje povećava ili smanjuje broj kontejnera na osnovu opterećenja, self-healing automatski restartuje kontejnere koji su se srušili ili ne prolaze health check, rolling update ažurira aplikaciju bez downtime-a zamenjujući kontejnere jedan po jedan i rollback vraća na prethodnu verziju u slučaju problema. Za hosting provajdere Kubernetes omogućava efikasno korišćenje resursa jer se kontejneri dinamički raspoređuju na servere sa dovoljno slobodnih resursa.

Bezbednost kontejnera

Najbolje prakse

Bezbednost kontejnera zahteva pažnju na više nivoa. Koristite minimalne bazne slike poput Alpine Linux umesto punih distribucija jer manja površina napada znači manje ranjivosti. Skenirajte slike na poznate ranjivosti alatima poput Trivy ili Snyk pre deploy-a. Ne pokretajte kontejnere kao root korisnik već kreirajte neprivilegiovanog korisnika u Dockerfile-u. Ažurirajte bazne slike redovno jer nove verzije sadrže bezbednosne zakrpe. Koristite read-only fajl sisteme gde je moguće i ograničite resurse kontejnera sa cgroups limitima za CPU i memoriju.

Mrežna izolacija

Docker mreže izoluju komunikaciju između kontejnera. Kreirajte odvojene mreže za frontend i backend kontejnere tako da javno dostupni kontejneri nemaju direktan pristup bazi podataka. Koristite network policy-je u Kubernetes-u za fino granularnu kontrolu mrežnog pristupa. Ne izlažite portove baze podataka na javni internet već ih držite dostupne samo unutar Docker mreže. Šifrujte komunikaciju između kontejnera sa TLS-om posebno u produkcijskom okruženju.

Zaključak

Containerizacija i Docker su transformisali način na koji se web aplikacije razvijaju i deploy-uju. Kontejneri nude izolaciju, konzistentnost, efikasnost resursa i jednostavnost skaliranja koje tradicionalni hosting ne može da pruži. Za manje projekte Docker Compose je dovoljno moćan alat dok Kubernetes postaje neophodan za velike distribuirane sisteme. Na web hosting paketu koristimo kontejnersku tehnologiju za izolaciju hosting okruženja što obezbeđuje stabilnost, bezbednost i optimalne performanse za svaki sajt na našim serverima.