Статьи

В смысле без этих ваших проксей - а то ишь, чего удумали! Если серьезно, основная проблема здесь с TLS, и даже не столько TLS, сколько с автоматизацией получения и обновления сертификатов Let's Encrypt. Вооружившись моим образом Lighttpd для Docker в варианте с s6-overlay, настроим все в лучшем виде. Останется, как говорится, просто добавить воды.

HAProxy (high availability proxy) - обратный прокси и балансировщик нагрузки, один из старейших и известнейших. В версии 3.2 появилась экспериментальная поддержка протокола ACMEv2, а значит получение сертификатов Let's Encrypt. Пусть это и не совсем то, для чего предназначается балансировщик, но мы можем поставить его перед веб-сервером Lighttpd для терминации SSL.

Несмотря на то, что веб-сервер Lighttpd умеет самостоятельно запускать процессы FastCGI (в частности php-fpm), такая возможность скорее побочная и злоупотреблять ею не стоит. С точки зрения контейнеризации это означает, что нужна система, которая смогла бы запустить сначала PHP, а затем веб-сервер, после чего корректно завершить эти процессы при остановке контейнера. Одной из таких является s6-overlay, с помощью которой мы и создадим вариант образа Lighttpd для PHP.

Ранее я писал о MinIO в качестве хранилища реестра контейнеров, но в случае VDS/VPS такой вариант экономически не выгоден: чуть ли не на порядок дешевле воспользоваться услугой аренды S3 у какого-нибудь облачного провайдера. Что я и решил сделать, ведь место на сервере стало очень быстро заканчиваться. Заодно мигрируем прокси зависимостей, LFS и всякое такое.

Особенностью шаблона Advanced PHP-фреймворка Yii 2 является разделение на фронт-офис (сайт) и бэк (панель управления). Следовательно, веб-сервер должен обслуживать два хоста. В продолжение темы про Lighttpd рассмотрим, как это можно устроить.

При всех своих достоинствах Traefik не умеет работать с FPM, следовательно, для работы с приложением на PHP ему требуется веб-сервер. Считается, что Apache не слишком хорош при обслуживании статики, поэтому раньше была (а может и до сих пор) популярна его связка с Nginx. С последним я не рекомендую связываться в связи с появлением на рынке Caddy/FrankenPHP, но ставить их позади Traefik своего рода масло масляное. В поисках компромисса я открыл для себя (а теперь делаю это и для вас) Lighttpd - оказывается, наряду с большой двойкой давно живет и здравствует мощный, быстрый и при этом легковесный веб-сервер.

При всех своих достоинствах, GitLab - система, крайне требовательная к ресурсам сервера. Одной только оперативной памяти ей фактически нужно 4 гигабайта, и то не без ухищрений. А в контексте FreeBSD это еще и старое недоброе красноглазие при настройке. Определенно нужна альтернатива, и она есть. Встречайте Gitea, работающую даже на Raspberry Pi 3 (по заверениям разработчиков).

Я сдаюсь. Каким-то чудом связка gitlab-runner и Podman отработала один раз, но как для этого должны были сойтись звезды и ощущалось ли влияние ретроградного Меркурия, выяснить не удалось. И все же отрицательный результат - тоже результат, поэтому статью опубликовал, вдруг она натолкнет вас на какие-нибудь идеи. Все же хостить эти самые страницы возможно, а марафонца запускать в другой виртуальной машине или еще что-нибудь придумать.

Ранее я установил GitLab на виртуальную машину FreeBSD, однако то был лишь базовый набор. Хотелось продолжить эксперимент и посмотреть, что еще можно выжать из столь нетривиального сочетания. В частности, получится ли развернуть Container Registry, и да - получилось. Каким образом? Об этом и пойдет речь в сегодняшней статье.

Когда я наконец-то организовал реестр контейнеров у себя в GitLab, совершенно внезапно (кто бы мог подумать?) выяснилось, что дискового пространства под это дело нужно много. Или даже очень много. А раз в качестве хранилища образов вместо файловой системы может применяться S3-совместимое, я решил изучить вариант с MinIO Community Edition.

Воодушевленный созданием контейнера PHP для FreeBSD, я поставил перед собой более амбициозную цель: скомпилировать FrankenPHP. Напомню, что это веб-сервер на базе Caddy, который взаимодействует с PHP как с библиотекой и помимо этого предоставляет еще ряд различных оптимизаций. В целом все получилось, но, как говорится, есть нюансы.

В этой статье я поделюсь своим опытом настройки container registry и приведу пример работы с ним. Что интересно, у меня GitLab сам работает в контейнере Docker, а еще непосредственно с интернетом взаимодействует Traefik.

При знакомстве с комбинацией Podman + FreeBSD я набросал Containerfile для PHP. Сейчас же я решил довести дело до ума и сделать образ, максимально приближенный к официальному в варианте FPM. Вынужден сразу предупредить, что интерпретатор, как и до этого, будет установлен с помощью пакетного менеджера, в результате невозможно будет гарантировать его точную версию.

Podman представляет собой альтернативу или даже замену Docker. Начиная с FreeBSD 14, его можно установить с помощью менеджера пакетов, а если что, то ему поможет подсистема эмуляции Linux. По крайней мере городить огород с виртуальными машинами не требуется. Тем не менее, пока что поддержка FreeBSD носит экспериментальный характер и предполагает лишь ознакомление и тестирование. Что мы и сделаем.

Она возможна, хотя и официально вроде как не поддерживается. К счастью, это можно сделать с помощью пакетного менеджера pkg, поэтому в качестве эксперимента я решил посмотреть, каково это вообще и как система будет работать в условиях ограниченных ресурсов. По идее должна лучше, чем в Oracle Linux. Экспериментировать будем в виртуальной машине VirtualBox: 2 гига ОЗУ, 2 ядра и 16 диск.

Примерно год я мучался с GitLab на сервере с двумя гигабайтами оперативки. Когда оплаченный период закончился, решил взять более мощный VDS по формуле 4/4/30. До этого сам GitLab был установлен непосредственно из репозитория, но для экспериментов с Pages и т.д. нужен Docker. А раз он и так есть, почему бы не завернуть GitLab в контейнер? Заодно на сервер можно будет установить что-нибудь еще.

Что такое Traefik? Сами себя они позиционируют как Edge Router или Application Proxy. Суть в том, чтобы связать внешний запрос с конкретным сервисом, который его обслужит. В сочетании с Докером задача обнаружения сервисов и масштабирования решается весьма элегантно за счет меток. Из коробки поддерживается Let's Encrypt, а что не поддерживается, так это PHP-FPM: приложения должны сами предоставлять веб-сервер.

В статьях про домашний сервер я описываю настройку Samba, однако рассчитывать на нее в плане резервирования данных не стоит. С другой стороны, я писал про внешние жесткие диски и robocopy, но и этого не вполне достаточно для стратегии типа 3-2-1. Сочетание restic и Syncthing в немалой степени снимает эти вопросы.

Через эмуляцию не получилось - требуются cgroupfs. Через bhyve тоже не особо получилось - потребовалась реальная машина. Получится ли через VirtualBox?..

Вдохновившись установкой FreeBSD на VPS, я решил поинтересоваться - а можно ли туда прикрутить Docker? Сначала я мыслил в сторону эмуляции Linux, но оказалось, что актуальному Докеру нужны cgroups, которых в эмуляции нет. Значит остаются только виртуальные машины. Родной гипервизор фряхи - bhyve, однако в уже виртуализированной FreeBSD (попробовал сначала в VirtualBox) нужные модули ядра скорее не загружаются. Таким образом, нужно реальное железо?..