Produkce na Hetzneru: Reverzní proxy Caddy, sítě web/db, rozcestník a deploy.sh

Reálná produkční infrastruktura na serveru Hetzner

Naše výuková platforma běží na produkčním serveru Hetzner pod hostitelským jménem debian-hell (IP 65.109.132.79). Server provozuje více nezávislých služeb sdružených pod centrálním rozcestníkem https://heatsharing.cz.

Celá architektura je navržena podle principů striktní izolace a minimálních privilegií:

                  ┌──────────────────────────────────────────────┐
                  │                 Internet                     │
                  └──────────────────────┬───────────────────────┘
                                         │ HTTPS (443)
                                         ▼
                  ┌──────────────────────────────────────────────┐
                  │      Centrální Caddy Reverzní Proxy          │
                  │      (/srv/caddy — Automatické SSL)          │
                  └──────────────┬───────────────────────────────┘
                                 │
                 Docker Network: │ web (Bridge)
        ┌────────────────────────┴────────────────────────┐
        ▼                                                 ▼
┌──────────────────────────────┐      ┌──────────────────────────────┐
│  Aplikace agy-laravel        │      │  Další aplikace na serveru   │
│  (laravel.heatsharing.cz)    │      │  (spytihnev.heatsharing.cz)  │
│  FrankenPHP :80              │      │  (/srv/apps/obecni-web)      │
└──────────────┬───────────────┘      └──────────────┬───────────────┘
               │                                     │
               └──────────────┐       ┌──────────────┘
               Docker Network:│ db    │
                              ▼       ▼
                     ┌────────────────────────────────┐
                     │    Sdílený PostgreSQL 18       │
                     │    (/srv/postgres)             │
                     └────────────────────────────────┘

Proč využíváme externí Docker sítě web a db?

V souboru compose.prod.yaml jsou obě sítě deklarovány s příznakem external: true:

networks:
  db:
    external: true
  web:
    external: true

Tento vzor přináší zásadní výhody:

1. Žádné vystavené porty do internetu: Kontejner agy-laravel nemá v produkci definovanou sekci ports:. Není přímo přístupný z veřejného internetu na žádném portu.
2. Směrování přes Caddy: Reverzní proxy Caddy v /srv/caddy poslouchá na veřejných portech 80/443. Když přijde požadavek na hostitele laravel.heatsharing.cz, Caddy jej přes interní Docker DNS sítě web přepošle na kontejner s aliasem agy-laravel:80. Caddy se také automaticky stará o vystavení a obnovu Let's Encrypt certifikátů.
3. Sdílená a izolovaná databáze: Sdílený PostgreSQL 18 kontejner běží v /srv/postgres na síti db. Naše aplikace s ním komunikuje po privátní síti pod uživatelem a databází agy_laravel, aniž by měla přístup k databázím jiných aplikací na serveru.

Nasazení pomocí skriptu deploy.sh

Proces aktualizace aplikace v produkci je plně automatizován v kořenovém skriptu deploy.sh:

#!/bin/sh
set -e

echo "==> Building production Docker image..."
docker compose -f compose.prod.yaml build app

echo "==> Deploying application..."
docker compose -f compose.prod.yaml up -d --wait

echo "==> Deployment complete. Service status:"
docker compose -f compose.prod.yaml ps

Kouzlo parametru --wait a Healthchecku:

Příkaz docker compose up -d --wait je klíčový. Bez parametru --wait by Docker kontejner spustil na pozadí a okamžitě ohlásil hotovo, aniž by tušil, zda aplikace skutečně naběhla.

S přepínačem --wait Docker sleduje náš definovaný Healthcheck:

healthcheck:
  test: ["CMD-SHELL", "curl -fsS http://localhost/up >/dev/null || exit 1"]
  interval: 30s
  timeout: 5s
  start_period: 60s
  retries: 3

Kontejner provolává náš Laravel endpoint /up. Teprve ve chvíli, kdy:

1. entrypoint.sh úspěšně počkal na databázi,
2. proběhly databázové migrace a seedy,
3. zahřála se cache přes optimize,
4. a FrankenPHP začal odpovídat kódem 200 OK na /up,

Docker označí kontejner za healthy a starý kontejner bezpečně přepojí na nový bez jediného výpadku pro uživatele (Zero-Downtime Deployment).