Self-Hosting Next.js на власному VPS: Coolify, Dokku, Kamal та Traefik Reverse Proxy

Архітектурний фундамент#

Комерційні платформи безсерверного хостингу (Vercel, AWS Amplify, Netlify) надають інженерам високий рівень абстракції та автоматизації: ефемерні прев'ю-середовища, глобальний CDN та масштабування з коробки. Проте в міру зростання проєкту до десятків мільйонів переглядів сторінок на місяць абстракція Serverless перетворюється на експоненційне зростання інфраструктурних витрат.

Детальний фінансовий аналіз витрат виявляє три головні статті переплат у комерційних Serverless PaaS:

1. Вартість вихідного мережевого трафіку (Fast Data Transfer / Egress): Націнка хмарних провайдерів за вихідний трафік сягає $0.15–$0.40 за гігабайт. При роздачі медіа-файлів, важких клієнтських бандлів та частих SSR-запитів трафік обсягом 20 ТБ на місяць коштує від $3,000 до $8,000 на Vercel проти фіксованих $0–$50 на виділених серверах (Hetzner, OVH, Leaseweb).
2. Накладні витрати на квантування обчислень (Compute Duration): Оплата безсерверних мілісекунд за формулою GB-sec при постійному навантаженні обходиться в 5–10 разів дорожче за оренду виділених ядер процесора (vCPU).
3. Обмеження середовища та відсутність контролю: Суворе обмеження на розмір вхідного запиту (4.5 МБ), відсутність прямого доступу до файлової системи та неможливість запуску локальних високошвидкісних сервісів (наприклад, локального Redis чи вбудованої бази SQLite у режимі WAL на NVMe-накопичувачі).

Next.js підтримує Standalone Mode (output: standalone), перетворюючи застосунок на компактний герметичний бандл, готовий до пакування в Docker-контейнери та розгортання на власних віртуальних (VPS) або виділених серверах через сучасні оркестратори: Coolify, Kamal або Dokku.

Ментальна модель#

Архітектура промислового Self-Hosting кластера будується на поєднанні сучасного зворотного проксі Traefik v3 та ізольованих Docker-контейнерів Next.js:

Вхідний клієнтський HTTPS-трафік (Порти 80, 443 / HTTP/3 QUIC)
                             │
                             ▼
┌────────────────────────────────────────────────────────────────────────┐
│                   Traefik v3 Edge Reverse Proxy                        │
│  - Автоматичний випуск і ротація TLS-сертифікатів Let's Encrypt        │
│  - Динамічне виявлення контейнерів через Docker Socket та Labels       │
│  - Термінація TLS 1.3, HTTP/2, HTTP/3, стиснення Zstd / Brotli / Gzip   │
│  - Глобальний Rate Limiting, захист від сканування та DDoS             │
└─────────────┬────────────────────────────────────────────┬─────────────┘
              │ Внутрішня мережа Docker Bridge             │
              ▼                                            ▼
┌──────────────────────────────┐              ┌──────────────────────────┐
│ Next.js Container A (Blue)   │              │ Next.js Container B (Green)
│ - Node.js 22 LTS Alpine      │              │ - Нова версія додатку    │
│ - Непривілейований nextjs    │              │ - Плавне перемикання     │
│ - Внутрішній порт 3000       │              │ - Zero-Downtime Rollout  │
└──────────────┬───────────────┘              └────────────┬─────────────┘
               │                                           │
               └─────────────────────┬─────────────────────┘
                                     │ Монтування тому
                                     ▼
┌────────────────────────────────────────────────────────────────────────┐
│                   Docker Persistent Volume (/cache)                    │
│  - Збереження сторінок Incremental Static Regeneration (ISR)           │
│  - Спадковість кешу між оновленнями версій додатку                     │
│  - Збереження метаданих fetch та внутрішнього кешу компілятора         │
└────────────────────────────────────────────────────────────────────────┘

• Traefik Reverse Proxy: Усуває необхідність вручну перезавантажувати конфігураційні файли Nginx під час деплою нових контейнерів.
• Coolify: Автоматизує збірки з Git, керування змінними оточення та розгортання баз даних на власних VPS.
• Kamal: Простий, легковажний та надійний стандарт деплою контейнерів на чисті сервери.
• Persistent Volume: Запобігає Cache Stampede, зберігаючи попередньо згенерований контент.

Застосування на практиці#

1. B2B SaaS платформи з обробкою великих файлів і медіа: Зняття ліміту в 4.5 МБ на розмір тіла запиту та організація прямої обробки відео, PDF чи датасетів на потужних процесорних ядрах сервера без залучення складних сторонніх сервісів.
2. Архітектури з надшвидкими базами даних SQLite на NVMe-дисках: Запуск Next.js разом із вбудованою базою SQLite / LibSQL у режимі WAL, що забезпечує мікросекундний час відгуку (0.05–0.2 мс) замість 10–30 мс мережевих затримок.
3. Радикальна оптимізація витрат для медіа-порталів: Перехід із тарифу Vercel Enterprise ($4,000+/міс) на два виділені сервери Hetzner по €60/міс із балансуванням через Traefik, що зменшує рахунки за інфраструктуру на понад 95% зі збереженням швидкості завантаження.
4. Ізольовані корпоративні контури (On-Premise / Private Cloud): Розгортання додатків у внутрішніх банківських або медичних мережах без виходу трафіку в публічні комерційні хмари.

Як це працює#

1. Standalone-режим та алгоритм Node File Trace (NFT)#

Вказівка output: 'standalone' у файлі next.config.ts активує вбудовану утиліту @vercel/nft (Node File Trace). Цей модуль будує абстрактне синтаксичне дерево (AST) усіх серверних файлів і точно визначає використовувані імпорти import та require.

У результаті в теку .next/standalone потрапляють:

• Мінімальний автономний HTTP-сервер server.js;
• Серверні маніфести сторінок та маршрутів;
• Виключно ті пакети з node_modules, які реально викликаються в рантаймі (dev-залежності, компілятор TypeScript та лінтери відсікаються).

# ---------------------------------------------------------
# ЕТАП 1: Базовий образ з Node.js 22 LTS на Alpine Linux
# ---------------------------------------------------------
FROM node:22-alpine AS base
# Встановлення libc6-compat для сумісності з нативними бінарниками (sharp)
RUN apk add --no-cache libc6-compat
WORKDIR /app

# ---------------------------------------------------------
# ЕТАП 2: Встановлення залежностей із кешуванням шарів
# ---------------------------------------------------------
FROM base AS deps
WORKDIR /app
# Копіювання маніфестів пакетних менеджерів
COPY package.json pnpm-lock.yaml* yarn.lock* package-lock.json* ./

RUN \
  if [ -f pnpm-lock.yaml ]; then corepack enable pnpm && pnpm i --frozen-lockfile; \
  elif [ -f yarn.lock ]; then yarn --frozen-lockfile; \
  elif [ -f package-lock.json ]; then npm ci; \
  else echo "Lockfile not found." && exit 1; \
  fi

# ---------------------------------------------------------
# ЕТАП 3: Компіляція застосунку Next.js
# ---------------------------------------------------------
FROM base AS builder
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .

# Вимкнення телеметрії для прискорення складання
ENV NEXT_TELEMETRY_DISABLED=1
ENV NODE_ENV=production

# Компіляція у standalone-бандл
RUN \
  if [ -f pnpm-lock.yaml ]; then corepack enable pnpm && pnpm run build; \
  elif [ -f yarn.lock ]; then yarn build; \
  else npm run build; \
  fi

# ---------------------------------------------------------
# ЕТАП 4: Мінімальний робочий образ рантайму (Runner)
# ---------------------------------------------------------
FROM node:22-alpine AS runner
WORKDIR /app

ENV NODE_ENV=production
ENV NEXT_TELEMETRY_DISABLED=1
ENV PORT=3000
ENV HOSTNAME="0.0.0.0"

# Створення безпечної системної групи та користувача без root-прав
RUN addgroup --system --gid 1001 nodejs && \
    adduser --system --uid 1001 nextjs

# Копіювання публічних статичних ресурсів
COPY --from=builder /app/public ./public

# Налаштування прав доступу до каталогу кешу ISR
RUN mkdir -p .next/cache && chown -R nextjs:nodejs .next

# Копіювання автономного сервера та клієнтських ассетів
COPY --from=builder --chown=nextjs:nodejs /app/.next/standalone ./
COPY --from=builder --chown=nextjs:nodejs /app/.next/static ./.next/static

# Перемикання на непривілейованого користувача
USER nextjs

EXPOSE 3000

# Прямий запуск сервера Node.js без shell-обгорток
CMD ["node", "server.js"]

2. Порівняння інструментів оркестрації для Self-Hosting#

3. Маршрутизація Traefik v3 за допомогою динамічних Docker Labels#

Traefik відстежує події Docker через системний сокет /var/run/docker.sock. При старті нового контейнера Next.js Traefik зчитує мітки labels, реєструє маршрутизатор, автоматично отримує сертифікат Let's Encrypt і плавно перемикає трафік після проходження перевірки здоров'я:

Production-артефакт: Комплекс Docker Compose з Traefik v3 та Persistent ISR#

Нижче наведено еталонний маніфест docker-compose.prod.yml для виробничого розгортання на VPS. Він включає налаштування Traefik v3 з автоматичним випуском SSL Let's Encrypt, ізоляцію мереж, ліміти пам'яті та постійний том для кешу ISR.

services:
  # -------------------------------------------------------
  # 1. ЗВОРОТНИЙ ПРОКСІ-СЕРВЕР TRAEFIK V3
  # -------------------------------------------------------
  traefik:
    image: traefik:v3.1
    container_name: production_traefik
    restart: always
    command:
      # Вимкнення анонімної телеметрії
      - "--global.sendAnonymousUsage=false"
      # Увімкнення провайдера Docker для читання міток
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      # Точки входу для HTTP, HTTPS та HTTP/3 QUIC
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      - "--entrypoints.websecure.http3=true"
      # Глобальне автоматичне перенаправлення з HTTP на HTTPS
      - "--entrypoints.web.http.redirections.entrypoint.to=websecure"
      - "--entrypoints.web.http.redirections.entrypoint.scheme=https"
      # Автоматичний випуск SSL-сертифікатів Let's Encrypt
      - "--certificatesresolvers.letsencrypt.acme.tlschallenge=true"
      - "[email protected]"
      - "--certificatesresolvers.letsencrypt.acme.storage=/letsencrypt/acme.json"
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp" # Порт UDP для роботи протоколу HTTP/3 QUIC
    volumes:
      # Доступ до сокета Docker у режимі тільки для читання (:ro)
      - /var/run/docker.sock:/var/run/docker.sock:ro
      # Персистентне сховище для SSL-сертифікатів
      - traefik_certs:/letsencrypt
    networks:
      - web_gateway
    security_opt:
      - no-new-privileges:true

  # -------------------------------------------------------
  # 2. АВТОНОМНИЙ ЗАСТОСУНОК NEXT.JS 15
  # -------------------------------------------------------
  nextjs_app:
    build:
      context: .
      dockerfile: Dockerfile
      target: runner
    container_name: production_nextjs
    restart: unless-stopped
    environment:
      - NODE_ENV=production
      - PORT=3000
      - HOSTNAME=0.0.0.0
      - DATABASE_URL=postgresql://user:password@postgres:5432/app_db
    # Ліміти системних ресурсів для запобігання падінню сервера
    deploy:
      resources:
        limits:
          cpus: '2.0'
          memory: 2048M
        reservations:
          cpus: '0.5'
          memory: 512M
    volumes:
      # КРИТИЧНО ВАЖЛИВО: збереження кешу ISR між оновленнями контейнера
      - nextjs_cache:/app/.next/cache
    networks:
      - web_gateway
    labels:
      # Активація маршрутизації через Traefik
      - "traefik.enable=true"
      
      # Правила маршрутизації за доменами
      - "traefik.http.routers.nextjs.rule=Host(`example.com`) || Host(`www.example.com`)"
      - "traefik.http.routers.nextjs.entrypoints=websecure"
      - "traefik.http.routers.nextjs.tls=true"
      - "traefik.http.routers.nextjs.tls.certresolver=letsencrypt"
      
      # Внутрішній мережевий порт контейнера
      - "traefik.http.services.nextjs.loadbalancer.server.port=3000"
      
      # Конфігурація опитування доступності (Healthcheck)
      - "traefik.http.services.nextjs.loadbalancer.healthcheck.path=/api/health"
      - "traefik.http.services.nextjs.loadbalancer.healthcheck.interval=10s"
      - "traefik.http.services.nextjs.loadbalancer.healthcheck.timeout=3s"
      
      # Підключення middleware стиснення, rate limit та заголовків безпеки
      - "traefik.http.routers.nextjs.middlewares=nextjs-compress,nextjs-ratelimit,nextjs-headers"
      
      # Стиснення трафіку (Brotli / Gzip)
      - "traefik.http.middlewares.nextjs-compress.compress=true"
      
      # Обмеження частоти запитів (Rate Limiting)
      - "traefik.http.middlewares.nextjs-ratelimit.ratelimit.average=100"
      - "traefik.http.middlewares.nextjs-ratelimit.ratelimit.burst=50"
      
      # Заголовки безпеки HSTS та захисту від атак
      - "traefik.http.middlewares.nextjs-headers.headers.sslredirect=true"
      - "traefik.http.middlewares.nextjs-headers.headers.stsSeconds=63072000"
      - "traefik.http.middlewares.nextjs-headers.headers.stsIncludeSubdomains=true"
      - "traefik.http.middlewares.nextjs-headers.headers.stsPreload=true"
      - "traefik.http.middlewares.nextjs-headers.headers.customresponseheaders.X-Robots-Tag=all"

# ---------------------------------------------------------
# ПЕРСИСТЕНТНІ ТОМИ ТА МЕРЕЖІ
# ---------------------------------------------------------
volumes:
  traefik_certs:
    driver: local
  nextjs_cache:
    driver: local

networks:
  web_gateway:
    driver: bridge

Типові помилки#

# ❌ КАТАСТРОФІЧНА ПОМИЛКА: Каталог кешу знищується при кожному релізі
services:
  nextjs:
    image: my-app:latest

# ✅ ВИРОБНИЧЕ РІШЕННЯ: Явне монтування Persistent Volume до .next/cache
services:
  nextjs:
    image: my-app:latest
    volumes:
      - next_cache_vol:/app/.next/cache # Зберігає кеш сторінок між деплоями

# ❌ ВРАЗЛИВІСТЬ: Секрети запікаються в історію шарів Docker
ARG DATABASE_URL
ENV DATABASE_URL=$DATABASE_URL
RUN npm run build

# ✅ ПРАВИЛЬНЕ РІШЕННЯ: Використання Docker Build Secrets або рантайм-конфігурації
# RUN --mount=type=secret,id=DATABASE_URL \
#     DATABASE_URL=$(cat /run/secrets/DATABASE_URL) npm run build
# Або чітке розділення: під час збірки передаються лише NEXT_PUBLIC_* змінні,
# а серверні секрети надаються в рантаймі через docker-compose environment!

# ❌ НЕБЕЗПЕЧНО: Виконання під root
CMD ["node", "server.js"]

# ✅ БЕЗПЕЧНО: Створення ізольованого системного користувача
RUN addgroup --system --gid 1001 nodejs && adduser --system --uid 1001 nextjs
USER nextjs
CMD ["node", "server.js"]

Покроковий алгоритм налаштування Self-Hosting на чистому VPS#

Питання до співбесіди#

Пов'язані теми#