Self-Hosting Next.js на собственном VPS: Coolify, Dokku, Kamal и Traefik Reverse Proxy

Архитектурная база#

Коммерческие платформы бессерверного хостинга (Vercel, AWS Amplify, Netlify) предоставляют разработчикам высокий уровень абстракции и удобство автоматизации: эфемерные окружения, глобальный CDN и масштабирование из коробки. Однако при переходе проекта в фазу устойчивого роста с миллионными объемами трафика абстракция Serverless оборачивается экспоненциальным ростом затрат на инфраструктуру.

Экономический анализ расходов выявляет три основные статьи переплат в Serverless PaaS:

1. Стоимость исходящего сетевого трафика (Fast Data Transfer / Egress): Наценка коммерческих облаков за исходящий трафик достигает $0.15–$0.40 за гигабайт. При раздаче медиа-контента, тяжелых клиентских скриптов и частых SSR-запросов трафик объемом 20 ТБ в месяц обходится в $3,000–$8,000 на Vercel против фиксированных $0–$50 на выделенных серверах (Hetzner, OVH, Leaseweb).
2. Накладные расходы на квантование вычислений (Compute Duration): Оплата бессерверных миллисекунд по формуле GB-sec при непрерывной высокой нагрузке обходится в 5–10 раз дороже аренды физических ядер процессора (vCPU).
3. Изоляция и контроль среды: Отсутствие прямого доступа к файловой системе, ограничения на размер полезной нагрузки (4.5 МБ) и невозможность поднять локальный сервис (например, embedded Redis или SQLite на NVMe-диске).

Standalone Mode (output: standalone) преобразует Next.js в легковесный автономный сервис, готовый к упаковке в Docker-контейнеры и развертыванию на собственных виртуальных (VPS) или физических серверах с использованием современных оркестраторов: Coolify, Kamal или Dokku.

Ментальная модель#

Архитектура промышленного Self-Hosting кластера строится на связке современного обратного прокси Traefik и изолированных Docker-контейнеров Next.js:

Входящий клиентский HTTPS-трафик (Порты 80, 443 / HTTP/3 QUIC)
                             │
                             ▼
┌────────────────────────────────────────────────────────────────────────┐
│                   Traefik v3 Edge Reverse Proxy                        │
│  - Автоматический выпуск и ротация SSL-сертификатов Let's Encrypt      │
│  - Динамическое обнаружение контейнеров через Docker Socket / Labels   │
│  - Терминация TLS 1.3, HTTP/2, HTTP/3, сжатие Zstd / Brotli / Gzip     │
│  - Глобальный Rate Limiting, защита от сканирования и DDoS             │
└─────────────┬────────────────────────────────────────────┬─────────────┘
              │ Внутренняя сеть (Docker Network bridge)    │
              ▼                                            ▼
┌──────────────────────────────┐              ┌──────────────────────────┐
│ Next.js Container A (Blue)   │              │ Next.js Container B (Green)
│ - Node.js 22 LTS Alpine      │              │ - Новая версия приложения│
│ - Непривилегированный nextjs │              │ - Плавное переключение   │
│ - Порт 3000 (Internal)       │              │ - Zero-Downtime Rollout  │
└──────────────┬───────────────┘              └────────────┬─────────────┘
               │                                           │
               └─────────────────────┬─────────────────────┘
                                     │ Монтирование тома
                                     ▼
┌────────────────────────────────────────────────────────────────────────┐
│                   Docker Persistent Volume (/cache)                    │
│  - Сохранение страниц Incremental Static Regeneration (ISR)            │
│  - Постоянное хранилище между перевыкатками контейнеров                 │
│  - Встроенный кэш компилятора и метаданных                             │
└────────────────────────────────────────────────────────────────────────┘

• Traefik Reverse Proxy: Устраняет необходимость вручную перезагружать конфигурационные файлы Nginx при деплое новых сервисов.
• Coolify: Предоставляет веб-интерфейс, автоматические Git-триггеры, превью-окружения и управление переменными среды на собственных VPS.
• Kamal: Простой и надежный стандарт развертывания контейнеров на чистые серверы.
• Persistent Volume: Гарантирует сохранение предварительно отрендеренных страниц при обновлении версий приложения.

На практике применяется#

1. B2B SaaS платформы с обработкой больших объемов документов и медиа: Снятие лимита в 4.5 МБ на размер загружаемых файлов и организация быстрой обработки PDF/видео на локальных мощных ядрах сервера без необходимости интеграции сложных внешних Serverless-пайплайнов.
2. Проекты с базой данных SQLite на сверхбыстрых NVMe-накопителях: Использование Next.js в сочетании с локальной базой данных LibSQL / Turso или SQLite в WAL-режиме, обеспечивающее время отклика базы данных в микросекундах (0.05–0.2 мс) вместо 10–30 мс по сети.
3. Оптимизация затрат высоконагруженных порталов: Миграция с Vercel Enterprise ($4,000+/мес) на 2 выделенных сервера Hetzner по €60/мес с балансировкой через Traefik, снижающая бюджет на серверную инфраструктуру более чем на 95% при сохранении аналогичной скорости TTFB.
4. Закрытые корпоративные контуры (On-Premise / Private Cloud): Развертывание систем в изолированных локальных сетях предприятий (банковский сектор, телекоммуникации) без выхода во внешние публичные облачные платформы.

Как это работает#

1. Архитектура Standalone режима и алгоритм Node File Trace (NFT)#

При указании output: 'standalone' в next.config.ts компилятор активирует модуль @vercel/nft (Node File Trace). Этот инструмент сканирует абстрактные синтаксические деревья (AST) всех серверных файлов и строит точный граф статических и динамических вызовов import и require.

В результате в директорию .next/standalone копируются:

• Минимальный встроенный HTTP-сервер server.js;
• Серверные манифесты маршрутизации и страниц;
• Строго те модули из node_modules, которые фактически используются в рантайме (отсекаются dev-зависимости, компиляторы TypeScript, Webpack-плагины и документация).

# ---------------------------------------------------------
# ЭТАП 1: Базовый образ с Node.js 22 LTS на Alpine Linux
# ---------------------------------------------------------
FROM node:22-alpine AS base
# Установка libc6-compat для корректной работы нативных бинарников (sharp)
RUN apk add --no-cache libc6-compat
WORKDIR /app

# ---------------------------------------------------------
# ЭТАП 2: Установка зависимостей с кэшированием слоев
# ---------------------------------------------------------
FROM base AS deps
WORKDIR /app
# Копирование файлов манифестов пакетного менеджера
COPY package.json pnpm-lock.yaml* yarn.lock* package-lock.json* ./

RUN \
  if [ -f pnpm-lock.yaml ]; then corepack enable pnpm && pnpm i --frozen-lockfile; \
  elif [ -f yarn.lock ]; then yarn --frozen-lockfile; \
  elif [ -f package-lock.json ]; then npm ci; \
  else echo "Lockfile not found." && exit 1; \
  fi

# ---------------------------------------------------------
# ЭТАП 3: Компиляция приложения Next.js
# ---------------------------------------------------------
FROM base AS builder
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .

# Отключение телеметрии во время сборки для ускорения процесса
ENV NEXT_TELEMETRY_DISABLED=1
ENV NODE_ENV=production

# Запуск компиляции проекта в standalone-артефакт
RUN \
  if [ -f pnpm-lock.yaml ]; then corepack enable pnpm && pnpm run build; \
  elif [ -f yarn.lock ]; then yarn build; \
  else npm run build; \
  fi

# ---------------------------------------------------------
# ЭТАП 4: Минимальный финальный рантайм-образ (Runner)
# ---------------------------------------------------------
FROM node:22-alpine AS runner
WORKDIR /app

ENV NODE_ENV=production
ENV NEXT_TELEMETRY_DISABLED=1
ENV PORT=3000
ENV HOSTNAME="0.0.0.0"

# Создание системной непривилегированной группы и пользователя
RUN addgroup --system --gid 1001 nodejs && \
    adduser --system --uid 1001 nextjs

# Копирование публичных статических ассетов
COPY --from=builder /app/public ./public

# Установка корректных прав доступа к директории кэша ISR
RUN mkdir -p .next/cache && chown -R nextjs:nodejs .next

# Копирование минимального standalone сервера и клиентских файлов
COPY --from=builder --chown=nextjs:nodejs /app/.next/standalone ./
COPY --from=builder --chown=nextjs:nodejs /app/.next/static ./.next/static

# Переключение на непривилегированного пользователя для безопасности
USER nextjs

EXPOSE 3000

# Запуск автономного сервера Node.js
CMD ["node", "server.js"]

2. Сравнение инструментов Self-Hosting оркестрации#

3. Механизм маршрутизации Traefik v3 с динамическими метками#

Traefik слушает события Docker через системный сокет /var/run/docker.sock. При запуске нового контейнера Next.js Traefik мгновенно считывает метаданные из labels, регистрирует маршрутизатор, запрашивает бесплатный SSL-сертификат у Let's Encrypt и начинает балансировать трафик:

Production-артефакт: Комплекс Docker Compose с Traefik v3 и Persistent ISR Volume#

Ниже представлен законченный конфигурационный файл docker-compose.prod.yml для промышленного развертывания на VPS. Файл содержит полную настройку прокси Traefik v3, автоматический выпуск Let's Encrypt SSL, изоляцию сетей, заголовки безопасности, лимиты ресурсов и постоянный том для кэша ISR.

services:
  # -------------------------------------------------------
  # 1. ОБРАТНЫЙ ПРОКСИ-СЕРВЕР TRAEFIK V3
  # -------------------------------------------------------
  traefik:
    image: traefik:v3.1
    container_name: production_traefik
    restart: always
    command:
      # Отключение сбора анонимной аналитики
      - "--global.sendAnonymousUsage=false"
      # Подключение провайдера Docker для динамического чтения меток
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      # Точки входа для HTTP, HTTPS и HTTP/3 (QUIC)
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      - "--entrypoints.websecure.http3=true"
      # Автоматический глобальный редирект с HTTP на HTTPS
      - "--entrypoints.web.http.redirections.entrypoint.to=websecure"
      - "--entrypoints.web.http.redirections.entrypoint.scheme=https"
      # Настройка автоматического выпуска сертификатов Let's Encrypt
      - "--certificatesresolvers.letsencrypt.acme.tlschallenge=true"
      - "[email protected]"
      - "--certificatesresolvers.letsencrypt.acme.storage=/letsencrypt/acme.json"
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp" # Порт UDP для протокола HTTP/3 QUIC
    volumes:
      # Доступ к сокету Docker в режиме строго только для чтения (безопасность)
      - /var/run/docker.sock:/var/run/docker.sock:ro
      # Персистентное хранилище сертификатов
      - traefik_certs:/letsencrypt
    networks:
      - web_gateway
    security_opt:
      - no-new-privileges:true

  # -------------------------------------------------------
  # 2. АВТОНОМНОЕ ПРИЛОЖЕНИЕ NEXT.JS 15
  # -------------------------------------------------------
  nextjs_app:
    build:
      context: .
      dockerfile: Dockerfile
      target: runner
    container_name: production_nextjs
    restart: unless-stopped
    environment:
      - NODE_ENV=production
      - PORT=3000
      - HOSTNAME=0.0.0.0
      - DATABASE_URL=postgresql://user:password@postgres:5432/app_db
    # Ограничения ресурсов для предотвращения падения хост-системы
    deploy:
      resources:
        limits:
          cpus: '2.0'
          memory: 2048M
        reservations:
          cpus: '0.5'
          memory: 512M
    volumes:
      # КРИТИЧЕСКИ ВАЖНО: сохранение кэша ISR между перевыкатками контейнера
      - nextjs_cache:/app/.next/cache
    networks:
      - web_gateway
    labels:
      # Активация маршрутизации через Traefik для данного контейнера
      - "traefik.enable=true"
      
      # Правило маршрутизации по доменному имени
      - "traefik.http.routers.nextjs.rule=Host(`example.com`) || Host(`www.example.com`)"
      - "traefik.http.routers.nextjs.entrypoints=websecure"
      - "traefik.http.routers.nextjs.tls=true"
      - "traefik.http.routers.nextjs.tls.certresolver=letsencrypt"
      
      # Указание внутреннего порта контейнера
      - "traefik.http.services.nextjs.loadbalancer.server.port=3000"
      
      # Настройка проверки доступности контейнера (Healthcheck)
      - "traefik.http.services.nextjs.loadbalancer.healthcheck.path=/api/health"
      - "traefik.http.services.nextjs.loadbalancer.healthcheck.interval=10s"
      - "traefik.http.services.nextjs.loadbalancer.healthcheck.timeout=3s"
      
      # Подключение middleware сжатия и безопасности
      - "traefik.http.routers.nextjs.middlewares=nextjs-compress,nextjs-ratelimit,nextjs-headers"
      
      # Middleware сжатия ответов (Brotli / Gzip)
      - "traefik.http.middlewares.nextjs-compress.compress=true"
      
      # Middleware ограничения частоты запросов (Rate Limiting)
      - "traefik.http.middlewares.nextjs-ratelimit.ratelimit.average=100"
      - "traefik.http.middlewares.nextjs-ratelimit.ratelimit.burst=50"
      
      # Заголовки безопасности HSTS и X-Frame-Options
      - "traefik.http.middlewares.nextjs-headers.headers.sslredirect=true"
      - "traefik.http.middlewares.nextjs-headers.headers.stsSeconds=63072000"
      - "traefik.http.middlewares.nextjs-headers.headers.stsIncludeSubdomains=true"
      - "traefik.http.middlewares.nextjs-headers.headers.stsPreload=true"
      - "traefik.http.middlewares.nextjs-headers.headers.customresponseheaders.X-Robots-Tag=all"

# ---------------------------------------------------------
# ИЗОЛИРОВАННЫЕ ТОМА И СЕТИ
# ---------------------------------------------------------
volumes:
  traefik_certs:
    driver: local
  nextjs_cache:
    driver: local

networks:
  web_gateway:
    driver: bridge

Распространённые ошибки#

# ❌ Фатальная ошибка в docker-compose.yml: кэш не вынесен на постоянный том
services:
  nextjs:
    image: my-app:latest
    # Директория .next/cache уничтожается вместе с контейнером при каждом деплое!

# ✅ Правильное решение: явное монтирование Persistent Volume к .next/cache
services:
  nextjs:
    image: my-app:latest
    volumes:
      - next_cache_vol:/app/.next/cache # Кэш сохраняется между версиями

# ❌ Уязвимость безопасности: секреты навсегда запекаются в историю слоев Docker
ARG DATABASE_URL
ENV DATABASE_URL=$DATABASE_URL
RUN npm run build

# ✅ Правильное решение: Использование Docker Build Secrets
# RUN --mount=type=secret,id=DATABASE_URL \
#     DATABASE_URL=$(cat /run/secrets/DATABASE_URL) npm run build
# Либо разделение: во время сборки используются только NEXT_PUBLIC_* переменные,
# а серверные секреты передаются в рантайме через docker-compose environment!

# ❌ Небезопасно: запуск процесса от root
CMD ["node", "server.js"]

# ✅ Безопасно: создание изолированного непривилегированного пользователя
RUN addgroup --system --gid 1001 nodejs && adduser --system --uid 1001 nextjs
USER nextjs
CMD ["node", "server.js"]

На собеседовании спросят#

Связанные темы#