Xray-core в Docker Compose: конфиг, сеть и безопасное обновление

Xray-core — это мощный инструмент для организации проксирования, и его развертывание в Docker Compose позволяет автоматизировать процесс, упростить управление и обеспечить изоляцию. В этой статье мы разберем ключевые аспекты: настройку volumes, сети, переменных окружения, а также безопасное обновление и резервное копирование. Вы узнаете, как избежать типичных ошибок и организовать работу Xray-core эффективно.

Docker Compose предоставляет декларативный способ описания инфраструктуры. Для Xray-core это означает, что вы можете описать сервис, его зависимости, сеть и тома в одном файле docker-compose.yml. Это упрощает развертывание на новых серверах и делает конфигурацию воспроизводимой. Однако неправильная настройка volumes или сети может привести к проблемам с доступностью или потере данных. Поэтому мы уделим внимание каждому аспекту.

Основы docker-compose для Xray-core

Перед началом убедитесь, что у вас установлены Docker и Docker Compose. Создайте директорию для проекта, например, xray-docker, и внутри нее файл docker-compose.yml. Минимальная конфигурация выглядит так:

1. Укажите версию Compose (например, 3.8).
2. Определите сервис xray с образом xray:latest (или конкретной версией).
3. Смонтируйте volumes для конфигурации и логов.
4. Настройте сеть, если требуется взаимодействие с другими контейнерами.
5. Передайте переменные окружения, если они используются в конфигурации.

Важно: не указывайте реальные ключи или UUID в примерах. Используйте плейсхолдеры.

Настройка volumes

Volumes — это способ хранения данных вне контейнера. Для Xray-core критически важны два каталога: /etc/xray (конфигурация) и /var/log/xray (логи). Создайте их на хосте и смонтируйте в контейнер. Это позволит изменять конфигурацию без пересоздания контейнера и сохранять логи между перезапусками.

Пример монтирования:

• ./config:/etc/xray:ro — монтируем конфигурацию только для чтения.
• ./logs:/var/log/xray — монтируем логи для записи.

Использование относительных путей удобно для разработки, но для продакшена лучше использовать абсолютные пути или именованные volumes. Именованные volumes проще бэкапить, но менее прозрачны для редактирования. Выбирайте в зависимости от задачи.

Сетевая конфигурация

Xray-core слушает порты (например, 443 для TLS). В docker-compose вам нужно пробросить порты на хост. Укажите порты в секции ports. Если вы используете несколько контейнеров (например, xray и nginx), создайте пользовательскую сеть.

Пример сети:

• Создайте сеть xray-net с драйвером bridge.
• Подключите сервис xray к этой сети.
• Если нужно, чтобы другие контейнеры видели xray по имени, используйте алиасы.

Не забывайте про firewall: открывайте только необходимые порты на хосте.

Переменные окружения

Переменные окружения (env) позволяют параметризовать конфигурацию. Например, вы можете задать порт, уровень логирования или адрес API. В docker-compose их можно указать в секции environment. Но помните: не храните секреты в переменных окружения, так как они видны в inspect. Для секретов используйте файлы или Docker secrets.

Пример использования env:

• XRAY_LOG_LEVEL: info
• XRAY_PORT: 443

В конфигурации Xray-core можно ссылаться на переменные через ${VAR}. Это делает конфиг гибким.

Обновление образа

Безопасное обновление Xray-core в Docker Compose включает несколько шагов. Сначала сделайте резервную копию конфигурации и логов. Затем выполните команду docker compose pull для загрузки нового образа. После этого пересоздайте контейнер: docker compose up -d. Docker Compose сам определит изменения и перезапустит сервис.

Важно: перед обновлением прочитайте changelog новой версии. Иногда меняются параметры конфигурации, и ваш конфиг может стать несовместимым. Поэтому после обновления проверьте логи на наличие ошибок.

Для автоматизации обновления можно использовать watchtower, но это требует осторожности. Лучше обновляться вручную, контролируя процесс.

Резервное копирование и восстановление

Резервное копирование Xray-core сводится к сохранению каталога конфигурации и логов. Вы можете использовать tar или rsync. Создайте скрипт, который архивирует эти каталоги и сохраняет в отдельное место. Восстановление — обратный процесс: распаковать архив и перезапустить контейнер.

Также можно использовать Docker volumes для бэкапа: docker run --rm -v xray_config:/backup -v $(pwd):/host alpine tar czf /host/backup.tar.gz -C /backup . Но проще работать с файлами на хосте.

Работа с логами

Логи Xray-core пишутся в /var/log/xray. В docker-compose вы можете настроить ротацию логов через драйвер logging. Например, использовать json-file с ограничением размера. Это предотвратит переполнение диска.

Для анализа логов можно использовать grep или специальные инструменты. Логи содержат информацию о подключениях, ошибках и трафике. По умолчанию логируются все события, но уровень можно настроить через переменную XRAY_LOG_LEVEL.

Если вы используете volumes для логов, они сохраняются между перезапусками, что удобно для аудита.

Проверка работоспособности

После запуска контейнера проверьте, что Xray-core работает. Выполните docker compose ps, чтобы увидеть статус. Затем проверьте логи: docker compose logs xray. Если есть ошибки, исправьте конфигурацию.

Также можно проверить порты: ss -tulpn | grep xray. Если порт открыт, значит, сервис слушает. Для проверки функциональности можно использовать curl или специализированные клиенты, но не приводим здесь конкретных команд для обхода ограничений.

Ограничения и безопасность

Не запускайте контейнер от root, если это возможно. Создайте пользователя в Dockerfile или используйте securityContext. Ограничьте доступ к файлам конфигурации, так как они могут содержать чувствительные данные.

Не публикуйте порты на все интерфейсы, если не требуется. Используйте 127.0.0.1:порт:порт для локального доступа. Также рекомендуется использовать TLS и аутентификацию.

Помните, что Xray-core — это инструмент, который может быть использован для обхода ограничений. Убедитесь, что вы соблюдаете законодательство вашей страны.

Заключение

Развертывание Xray-core в Docker Compose — это удобный и гибкий способ управления прокси-сервером. Правильная настройка volumes, сети и переменных окружения обеспечивает надежность и простоту обслуживания. Следуя рекомендациям по обновлению и резервному копированию, вы минимизируете риски. Используйте чек-лист ниже, чтобы ничего не упустить.