Šta je containerizacija i Docker za hosting

Uvod u containerizaciju

Containerizacija je tehnologija koja pakuje aplikaciju zajedno sa svim njenim zavisnostima, bibliotekama i konfiguracijama u izolovan paket koji se naziva kontejner. Kontejner sadrži sve što je potrebno da aplikacija radi identično na bilo kom sistemu bez obzira na operativni sistem ili okruženje u kome se pokreće. Ova tehnologija je revolucionisala način na koji se softver razvija, testira i deploy-uje jer eliminira čuveni problem radi na mom računaru ali ne radi na serveru.

Koncept containerizacije postoji od ranih 2000-ih sa tehnologijama poput FreeBSD Jails i Linux Containers ali je Docker 2013. godine učinio containerizaciju pristupačnom široj zajednici programera. Danas containerizacija predstavlja standard u industriji i koriste je kompanije svih veličina od startapa do korporacija poput Google-a, Amazon-a i Netflix-a za pokretanje miliona kontejnera dnevno.

Kontejneri nasuprot virtuelnih mašina

Kako rade virtuelne mašine

Virtuelne mašine ili VM simuliraju kompletno računarsko okruženje uključujući hardver, operativni sistem, kernel i sve sistemske biblioteke. Svaka VM pokreće vlastitu kopiju operativnog sistema na vrhu hipervizora poput VMware, Hyper-V ili KVM koji upravlja deljenjem fizičkih resursa. Ovo znači da VM sa Ubuntu-om na serveru koji pokreće CentOS mora učitati kompletan Ubuntu kernel i operativni sistem što zauzima značajne resurse RAM memorije i prostora na disku.

Kako rade kontejneri

Kontejneri dele kernel host operativnog sistema i izoluju samo aplikacijski sloj. Umesto da pokreću vlastiti OS kontejneri koriste namespace-ove i cgroups mehanizme Linux kernela za izolaciju procesa, mrežnog pristupa, datoteka sistema i resursa. Kontejner sa Node.js aplikacijom sadrži samo Node.js runtime, npm pakete i kod aplikacije ali ne i ceo operativni sistem. Zato kontejneri zauzimaju samo megabajte umjesto gigabajta prostora i startiraju za sekunde umjesto za minute kao VM.

Poređenje performansi

Kontejneri su značajno efikasniji od virtuelnih mašina po svim ključnim metrikama. Tipična VM zauzima 1 do 20 gigabajta prostora dok kontejner obično zauzima 10 do 500 megabajta. Vrijeme pokretanja VM je 30 sekundi do nekoliko minuta dok kontejner startira za manje od sekunde. Na jednom fizičkom serveru možete pokrenuti desetine VM ili stotine pa čak i hiljade kontejnera. Međutim VM pruža jaču izolaciju jer svaka VM ima vlastiti kernel pa su sigurnosne posljedice proboja izolacije manje ozbiljne kod VM nego kod kontejnera koji dele kernel.

Docker osnove

Šta je Docker

Docker je platforma otvorenog koda za kreiranje, distribuciju i pokretanje kontejnera. Docker ekosistem se sastoji od Docker Engine koji je runtime za pokretanje kontejnera, Docker CLI koji je komandni interfejs za upravljanje kontejnerima, Docker Hub koji je javni registar sa hiljadama gotovih kontejner slika i Docker Compose koji je alat za definisanje i pokretanje višekontejnerskih aplikacija. Docker je postao de facto standard za containerizaciju i kada ljudi govore o kontejnerima uglavnom misle na Docker kontejnere.

Docker slike i kontejneri

Docker slika ili image je šablon koji sadrži sve potrebno za pokretanje aplikacije. Slika je nepromenjiva što znači da se jednom kreirana ne može izmeniti već se kreira nova verzija. Kontejner je pokrenuta instanca slike, slično kao što je proces pokrenuta instanca programa. Iz jedne slike možete pokrenuti neograničen broj kontejnera od kojih svaki ima vlastiti datoteka sistem, mrežni pristup i resurse. Slike se čuvaju u slojevima gdje svaki sloj predstavlja jednu instrukciju iz Dockerfile-a što omogućuje efikasno keširanje i deljenje zajedničkih slojeva između različitih slika.

Dockerfile

Dockerfile je tekstualni datoteka sa instrukcijama za kreiranje Docker slike. Tipičan Dockerfile za Node.js aplikaciju počinje sa FROM node:20-alpine koji specificira baznu sliku, zatim WORKDIR /app koji postavlja radni direktorij, COPY package*.json ./ koji kopira datoteke sa zavisnostima, RUN npm ci koji instalira zavisnosti, COPY . . koji kopira kod aplikacije i CMD node server.js koji definira komandu za pokretanje. Svaka instrukcija kreira novi sloj u slici i Docker kešira slojeve koji se nisu promijenili što ubrzava ponovne build-ove.

Docker u praksi za hosting

Primjeri upotrebe

Docker se koristi u hostingu na mnogo načina. Izolacija aplikacija omogućuje pokretanje više aplikacija sa različitim verzijama istog softvera na jednom VPS ili dedikovanom serveru, na primjer jedne aplikacije koja zahtijeva PHP 7.4 i druge koja zahtijeva PHP 8.3 bez konflikata. Konzistentno okruženje garantuje da aplikacija radi identično na razvojnom računaru, staging serveru i produkciji jer je okruženje definirano u Dockerfile-u. Jednostavan deploy svodi se na povlačenje nove verzije slike i restart kontejnera umjesto ručne konfiguracije servera. Skaliranje je trivijalno jer pokretanje dodatnih instanci zahtijeva samo jednu komandu.

Docker Compose za web aplikacije

Docker Compose omogućuje definisanje kompletnog aplikacijskog stack-a u jednom YAML datoteci. Tipična web aplikacija se sastoji od web servera poput Nginx-a, aplikacijskog servera poput PHP-FPM ili Node.js, baze podataka poput MySQL ili PostgreSQL i cache sistema poput Redis-a. Svaki od ovih servisa se definira kao poseban kontejner u docker-compose.yml datoteci sa mrežnim vezama, volumenim za perzistentne podatke i environment varijablama za konfiguraciju. Jedna komanda docker compose up pokreće sve servise sa pravilnom konfiguracijom i međusobnom komunikacijom.

Perzistencija podataka

Kontejneri su po prirodi efemerni što znači da se svi podaci unutar kontejnera gube kada se kontejner obriše. Za podatke koji moraju preživeti restart ili brisanje kontejnera koriste se Docker volumeni koji mapiraju direktorij na host sistemu u kontejner. Baza podataka čuva datoteke na volumenu koji postoji neovisno od kontejnera, upload direktorij web aplikacije je mapiran na host datoteka sistem, a log datoteke se šalju na centralizirani logging servis. Pravilno upravljanje volumenima je ključno za produkcijski hosting jer gubitak podataka korisnika je neprihvatljiv.

Uvod u Kubernetes

Šta je Kubernetes

Kubernetes skraćeno K8s je platforma otvorenog koda za automatizirano upravljanje, skaliranje i deploy kontejnerizovanih aplikacija. Dok Docker upravlja pojedinačnim kontejnerima Kubernetes upravlja klasterima od stotina ili hiljada kontejnera raspoređenih na više servera. Google je razvio Kubernetes na osnovu internog sistema Borg koji koristi za upravljanje svojom infrastrukturom i objavio ga kao projekt otvorenog koda 2014. godine.

Ključni koncepti

Kubernetes organizira kontejnere u pod-ove koji su najmanja jedinica deploy-a i mogu sadržati jedan ili više kontejnera koji dele resurse. Deployment definira željeno stanje aplikacije uključujući broj replika i strategiju ažuriranja. Service osigurava stabilnu mrežnu adresu za pristup pod-ovima koji se mogu kreirati i uništavati dinamički. Ingress upravlja eksternim pristupom servisima obično putem HTTP i HTTPS. Namespace-ovi omogućuju logičku separaciju resursa unutar klastera na primjer za različita okruženja ili timove.

Kubernetes za hosting

Kubernetes je prekompliciran za male sajtove ali je idealan za skalabilne aplikacije sa visokim zahtjevima za dostupnost. Automatsko skaliranje povećava ili smanjuje broj kontejnera na osnovu opterećenja, self-healing automatski restartira kontejnere koji su se srušili ili ne prolaze health check, rolling update ažurira aplikaciju bez downtime-a zamenjujući kontejnere jedan po jedan i rollback vraća na prethodnu verziju u slučaju problema. Za hosting provajdere Kubernetes omogućuje efikasno korištenje resursa jer se kontejneri dinamički raspoređuju na servere sa dovoljno slobodnih resursa.

Sigurnost kontejnera

Najbolje prakse

Sigurnost kontejnera zahtijeva pažnju na više nivoa. Koristite minimalne bazne slike poput Alpine Linux umjesto punih distribucija jer manja površina napada znači manje ranjivosti. Skenirajte slike na poznate ranjivosti alatima poput Trivy ili Snyk prije deploy-a. Ne pokretajte kontejnere kao root korisnik već kreirajte neprivilegiovanog korisnika u Dockerfile-u. Ažurirajte bazne slike redovno jer nove verzije sadrže sigurnosne zakrpe. Koristite read-only datoteka sisteme gdje je moguće i ograničite resurse kontejnera sa cgroups limitima za CPU i memoriju.

Mrežna izolacija

Docker mreže izoluju komunikaciju između kontejnera. Kreirajte odvojene mreže za frontend i backend kontejnere tako da javno dostupni kontejneri nemaju direktan pristup bazi podataka. Koristite network policy-je u Kubernetes-u za fino granularnu kontrolu mrežnog pristupa. Ne izlažite portove baze podataka na javni internet već ih držite dostupne samo unutar Docker mreže. Šifrujte komunikaciju između kontejnera sa TLS-om posebno u produkcijskom okruženju.

Zaključak

Containerizacija i Docker su transformisali način na koji se web aplikacije razvijaju i deploy-uju. Kontejneri nude izolaciju, konzistentnost, efikasnost resursa i jednostavnost skaliranja koje tradicionalni hosting ne može pruži. Za manje projekte Docker Compose je dovoljno moćan alat dok Kubernetes postaje neophodan za velike distribuirane sisteme. Na web hosting paketu koristimo kontejnersku tehnologiju za izolaciju hosting okruženja što osigurava stabilnost, sigurnost i optimalne performanse za svaki sajt na našim serverima.