Những cạm bẫy khi vận hành Docker homelab: dung lượng ổ đĩa, nhật ký và sự lệch pha cấu hình

Một bài đăng kỹ thuật gần đây đã mô tả chi tiết nhiều mối nguy hiểm trong quá trình vận hành khi quản lý môi trường Docker tự host trên Proxmox và thiết bị lưu trữ kết nối mạng (NAS). Tác giả giải thích cách các lệnh chẩn đoán tiêu chuẩn có thể khiến quản trị viên hiểu nhầm, dẫn đến việc xóa các dịch vụ đang hoạt động hoặc bỏ qua những thay đổi cấu hình quan trọng. Những sự cố này làm nổi bật khoảng cách giữa trạng thái sức khỏe của container và chức năng thực tế của dịch vụ trong các hệ thống home lab phức tạp.

Chuyện gì đã xảy ra

Cuộc điều tra bắt đầu khi một máy chủ Docker đạt mức sử dụng 82% dung lượng ổ đĩa. Các chẩn đoán ban đầu bằng lệnh docker system df cho thấy có 6,67 GB không gian có thể thu hồi, nhưng kiểm tra kỹ lưỡng hơn lại tiết lộ rằng các chế độ xem tóm tắt gây hiểu lầm. Lệnh docker ps hiển thị các định danh SHA thô thay vì tên image cho một số container, khiến một image đang hoạt động có tên unclecode/crawl4ai trông như thể bị cô lập (orphaned). Container này vẫn khỏe mạnh, đã chạy được hai tuần và đang phục vụ lưu lượng truy cập. Quản trị viên chỉ tránh được việc xóa nó nhờ đối chiếu các cổng đang lắng nghe với thông tin kiểm tra container.

Phân tích sâu hơn cho thấy áp lực lên ổ đĩa chủ yếu đến từ các image và cache build, chứ không phải dữ liệu người dùng. Một máy khách chứa 16 GB image, trong khi máy khác có 11,4 GB image và 11,3 GB cache build. Việc xóa mười sáu tag cũ của một ứng dụng tùy chỉnh chỉ giải phóng được 60 MB mặc dù mỗi tag liệt kê là 240 MB, nguyên nhân do các lớp (layer) được chia sẻ. Một sự cố riêng biệt liên quan đến một máy chủ khác đạt mức sử dụng ổ đĩa 100% vì daemon Docker thiếu tệp cấu hình để giới hạn kích thước nhật ký. Một tệp nhật ký Home Assistant duy nhất đã phình to tới 1,9 GB, khiến năm đơn vị systemd thất bại mà không cảnh báo ai.

Sự lệch pha cấu hình cũng gây ra các đợt gián đoạn kéo dài. Một container trình duyệt tệp tin vẫn ngừng hoạt động suốt sáu ngày vì chính sách khởi động lại (restart policy) của nó đã quay về no, bất chấp tệp compose quy định unless-stopped. Điều này xảy ra do container được tạo trước khi thay đổi chính sách và chưa bao giờ được tái tạo. Ngoài ra, các vấn đề nội suy biến môi trường đã làm hỏng chuỗi mật khẩu Argon2, dẫn đến lỗi xác thực, trong khi các giá trị mặc định được hard-code trong stack tracing gây ra lỗi kết nối cơ sở dữ liệu. Các lỗ hổng bảo mật mạng được phát hiện khi các cổng công khai cho phép truy cập trực tiếp vào các instance riêng tư, bỏ qua reverse proxy.

Chi tiết chính

• Các công cụ dọn dẹp ổ đĩa như docker system df có thể phản ánh sai mức sử dụng dung lượng do các lớp image và cache build được chia sẻ.
• Ghi nhật ký mặc định của Docker không có giới hạn kích thước, cho phép các tệp nhật ký đơn lẻ chiếm toàn bộ hệ thống tệp nếu daemon.json không được cấu hình.
• Thay đổi tệp .env hoặc cấu hình compose đòi hỏi phải chạy docker compose up -d --force-recreate để có hiệu lực, chứ không chỉ đơn thuần là khởi động lại.
• Các container được tạo trước khi cập nhật chính sách khởi động lại sẽ giữ nguyên chính sách ban đầu cho đến khi chúng được tái tạo hoặc cập nhật một cách tường minh.
• Kiểm tra sức khỏe (health checks) chỉ báo cáo trạng thái tiến trình nhưng không xác minh kết nối chức năng, chẳng hạn như kết nối tunnel hoặc khả năng sẵn có của GPU.
• Quy tắc tường lửa cho các cổng công khai phải khớp với địa chỉ đích gốc bằng cách sử dụng --ctorigdst do hành vi của DNAT.

Bối cảnh

Container Docker là các môi trường ảo hóa nhẹ, chia sẻ kernel của hệ điều hành host. Khi một container được tạo, Docker ghi lại cấu hình, bao gồm biến môi trường, chính sách khởi động lại và driver ghi nhật ký, vào một trạng thái runtime cụ thể. Các thay đổi sau đó đối với tệp nguồn, chẳng hạn như tệp YAML compose hoặc định nghĩa biến môi trường, không tự động cập nhật các container đang chạy. Quản trị viên phải tái tạo container một cách tường minh để áp dụng những thay đổi này. Hành vi này thường dẫn đến "sự lệch pha cấu hình", nơi hệ thống thực tế phân kỳ so với mã hạ tầng được khai báo.

Ghi nhật ký trong Docker thường sử dụng driver tệp JSON theo mặc định, ghi tất cả các luồng output và error chuẩn ra đĩa mà không xoay vòng (rotation) trừ khi được cấu hình khác đi. Trong môi trường production hoặc home lab chạy lâu dài, điều này có thể dẫn đến việc tiêu thụ nhanh dung lượng ổ đĩa. Tương tự, việc quản lý image liên quan đến các lớp được chia sẻ giữa nhiều tag và phiên bản. Xóa một tag cụ thể không nhất thiết loại bỏ các khối dữ liệu cơ bản nếu các image khác tham chiếu đến chúng, khiến việc thu hồi dung lượng ổ đĩa khó dự đoán hơn so với việc xóa tệp đơn giản.

Tại sao điều này quan trọng

Đối với các đội ngũ chạy phần mềm tự host, những cạm bẫy này đại diện cho các rủi ro lớn về độ tin cậy. Dựa vào các kiểm tra sức khỏe bề ngoài có thể che giấu các lỗi dịch vụ, chẳng hạn như một agent tunnel đang chạy nhưng không kết nối, hoặc một container machine learning chuyển sang dùng CPU do không tương thích phần cứng. Nếu không giám sát chặt chẽ chức năng thực tế của dịch vụ, các sự cố gián đoạn có thể kéo dài nhiều ngày mà không bị phát hiện. Sự cố trình duyệt tệp tin ngừng hoạt động suốt sáu ngày minh họa cách các lỗi im lặng có thể phá vỡ quy trình làm việc mà không kích hoạt cảnh báo ngay lập tức.

Cạn kiệt dung lượng ổ đĩa là một mối đe dọa nghiêm trọng khác đối với tính sẵn sàng. Nhật ký tăng trưởng không giới hạn có thể làm sập toàn bộ máy chủ, kéo theo tất cả các dịch vụ cùng chỗ xuống đồng thời. Việc thiếu xoay vòng nhật ký mặc định có nghĩa là mọi bản triển khai mới đều thừa hưởng rủi ro này trừ khi được giảm thiểu một cách tường minh. Hơn nữa, sự lệch pha cấu hình làm suy yếu lợi ích về khả năng tái lập của các phương pháp hạ-tầng-dưới-dạng-mã (infrastructure-as-code). Nếu biến môi trường hoặc chính sách khởi động lại không được đồng bộ giữa kho mã và các container đang chạy, việc gỡ lỗi trở nên khó khăn và các bản triển khai trở nên khó lường.

Bảo mật mạng cũng bị xâm phạm khi các hành vi công bố mặc định không được quản lý cẩn thận. Việc phơi bày các dịch vụ riêng tư trên tất cả các giao diện cho phép di chuyển ngang trái phép trong mạng. Cấu hình tường lửa đúng cách đòi hỏi hiểu biết về cơ chế dịch địa chỉ mạng (NAT) của Docker, vốn khác với định tuyến dựa trên host tiêu chuẩn. Các quy tắc cấu hình sai có thể để lộ các dịch vụ nội bộ nhạy cảm cho các phân khúc ít tin cậy hơn, vi phạm nguyên tắc đặc quyền tối thiểu.

Bạn có thể làm gì

• Xác minh việc sử dụng image bằng docker inspect và kiểm tra các cổng đang lắng nghe trước khi xóa bất kỳ image hoặc container nào.
• Cấu hình daemon.json với các giới hạn max-size và max-file cho nhật ký, sau đó tái tạo các container hiện có để áp dụng cài đặt.
• Sử dụng docker compose up -d --force-recreate sau khi thay đổi tệp môi trường để đảm bảo các giá trị mới được nạp.
• Kiểm toán các chính sách khởi động lại định kỳ bằng docker inspect để xác nhận chúng khớp với cấu hình compose mong muốn.
• Triển khai các quy tắc tường lửa trong chuỗi DOCKER-USER sử dụng --ctorigdst để hạn chế truy cập vào các cổng công khai.
• Kiểm thử chức năng dịch vụ vượt ra ngoài các kiểm tra sức khỏe bằng cách xác minh kết nối bên ngoài và phụ thuộc nội bộ định kỳ.