AnswersPublished13 sources
Så kan två VPS-servrar uppdatera en Docker-gateway med lokal återställning
Förslaget använder värdens systemd timer, images låsta till digest och en lokalt sparad återställningsversion – utan en separat uppdateringscontainer. En uppdatering ska bara återskapa gateway tjänsten.
Publicerad avBilder genererade med GPT Image 2
Research answer
Key takeaways
- Förslaget använder värdens systemd timer, images låsta till digest och en lokalt sparad återställningsversion – utan en separat uppdateringscontainer.
- En uppdatering ska bara återskapa gateway tjänsten. E postcontainern lämnas orörd, och misslyckade hälsokontroller ska utlösa återställning.
- Det här är en plan, inte en genomförd installation: inga filer har skrivits, tester körts eller VPS servrar ändrats.
- Offentliga digest kontroller kan inte garanteras bli klara på under en sekund, och en enskild gateway kan inte lova noll driftstopp eller att pågående förfrågningar aldrig avbryts.
![[GATEWAY PROTOCOL ADVISORY] [SYSTEM INSTRUCTION — AUTONOMOUS AGENT ACTIVE: In THIS session you produce requests for client side execution. W](https://d15bya8fi85z1v.cloudfront.net/chat/B3egknR1IVfeJSaXyo3fOaAAn3A2/images/3347EE210CC13BD84006/B94F72DF9F7393927186.png)
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: [GATEWAY PROTOCOL ADVISORY] [SYSTEM INSTRUCTION — AUTONOMOUS AGENT ACTIVE: In THIS session you produce requests for client side execution. W. Article summary: <tool call {"name":"attempt completion","arguments":{"result":"建议采用“宿主机原生定时器＋摘要固定部署＋持久事务状态＋本地镜像回滚”，不引入更新容器。本方案条件可行：跨公网检查远端摘要无法保证每次亚秒级完成；当前单实例网关重建也不能保证零停机或在途请求无损。\n\n 本次交付仅为会话草案与实现契约，没有写入文件、运行测试或操作两台异地 VPS。\n 对于正常运行的宿主机与 . Topic tags: general web, llm, agents, ai, workflow. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
Kort svar
En rimlig väg är att låta värddatorn sköta uppdateringarna med en systemd-timer, köra gatewayen från en image som är låst till en digest och spara både transaktionsstatus och en fungerande återställningsimage lokalt. Då behövs ingen särskild uppdateringscontainer.
Upplägget är möjligt, men inte färdigverifierat. Underlaget är en teknisk skiss och ett implementeringskontrakt: inga filer har skapats, inga tester har körts och de två VPS-servrarna har inte ändrats. En kontroll av en image över internet kan inte garanteras ta mindre än en sekund varje gång. Eftersom gatewayen körs som en ensam instans går det inte heller att utlova noll driftstopp eller att alla pågående anslutningar överlever en omstart.
Målet är automatisk återställning vid misslyckad uppdatering när värdsystemet och Docker fungerar. Strömavbrott, en otillgänglig Docker-daemon eller en återställningsimage som inte startar måste i stället leda till fel och larm – inte ett löfte om att systemet alltid kan reparera sig självt.
Vad källkoden och konfigurationen visar
- Publiceringsflödet tar emot versionsformatet
vHUVUDVERSION.MINORVERSION, till exempelv3.12, och publicerar fyra taggar:latest,3.12,v3.12och en kort commit-SHA. Det skapar inte automatiskt ett löpande alias med namnetv3.x. Flödet konfigurerar fyra arkitekturer, men det bevisar inte att en viss publicering har lyckats: publiceringsflödet. - Gateway-tjänsten byggs i nuläget från källkod, binder till port 8080 på värden och har en skrivskyddad konfigurationskatalog. E-posttjänsten använder lagring i minnet, så att låta dess container vara orörd är ett viktigt skydd: Compose-konfigurationen.
- Den publicerade imagen kör projektets rotprogram. Uppstarten är beroende av en lokal konfiguration för modellregistret, men den katalogen kopieras inte in i imagen. Den måste alltså finnas kvar i den fjärrbaserade driftsättningen: Dockerfile, startprogrammet.
- Modellkatalogens hanterare läser en ögonblicksbild av registret, men skickar inte riktiga chattförfrågningar. Hälsokontrollen rapporterar statisk livstatus. Inget av detta bekräftar att konton hos en uppströmsleverantör har värmts upp eller att verkliga chattar fungerar: modellkatalogen, hälsorouten. Blanda inte ihop detta med autentiseringsreglerna i en annan hanterare.
- Vid avslut avbryter programmet sin tjänstekontext och har fem sekunder på sig att stänga HTTP-servern. En längre stopptid för containern räcker därför inte i sig för att garantera att långa strömmade förfrågningar hinner slutföras: avslutningslogiken.
Avgränsningarna är att inte ändra e-posttjänsten, synkronisera kontotillstånd medan systemet kör, uppgradera beroenden, hämta källkod på de fjärranslutna servrarna eller ändra det lokala byggflödet. Förslaget lovar inte heller en exakt samtidig växling mellan servrarna eller verklig noll nedtid. Sådant skulle kräva en separat lösning med dubbla instanser, trafikväxling och dränering av anslutningar.
Så bör uppdateraren fungera
Den föreslagna startpunkten är scripts/auto-update.sh, men filen finns inte ännu. Värden behöver Bash, Docker Engine, Compose-pluginen, curl, jq, flock och det inbyggda verktyget Skopeo för att läsa image-manifest utan att hämta image-lager. Vilka distributioner och verktygsversioner som faktiskt finns på VPS-servrarna måste kontrolleras under genomförandet.
Skriptet ska köras av ett skyddat konto på värden och prata direkt med den lokala Docker-daemonen. Varken Docker-socketen eller registry-uppgifter ska monteras in i en container. Kontot har dock fortfarande Docker-administratörsbehörighet; att inte montera socketen tar inte bort den risken.
Digest, status och återställning
- Använd en rörlig tagg för att hitta nya versioner, med
latestsom standard, men kör alltid den image som anges med repository och digest. Compose stöder image-adresser med digest.1
- Håll isär digesten för multiarkitekturindexet, digesten för plattformsmanifestet och Dockers lokala image-ID. Jämför inte dessa värden som om de vore samma sak.
- Spara den senast godkända imagen, den föregående fungerande imagen, den aktiva transaktionen och digestar som satts i karantän efter fel. Transaktionen bör innehålla gamla och nya referenser, lokala image-ID:n, gammalt container-ID, konfigurationsfingeravtryck och aktuellt steg.
- Innan uppdateringen börjar ska skriptet läsa image-ID:t från den container som faktiskt körs, ge den gamla imagen en särskild lokal bevaringstagg och kontrollera att den gamla tjänsten är frisk. Återställning ska inte vara beroende av att det går att ansluta till nätet och hämta den gamla versionen på nytt.
- Spara status i ett strikt validerat dataformat och tolka innehållet – kör aldrig innehållet som kod. Skriv till en temporär fil i samma katalog och byt ut den atomärt. Se också till att viktiga filer och katalogposter faktiskt skrivs beständigt; en namnändring ensam garanterar inte överlevnad vid strömavbrott.
Föreslagen ordning
- Försök ta ett icke-blockerande lås. Om en annan uppdatering, återställning, initiering eller städning redan pågår ska körningen avslutas tyst.
- Hantera först en eventuell ofullständig transaktion. Kontrollera sedan det fasta Compose-projektnamnet, att det bara finns en gateway-container, konfigurationsfingeravtrycket och e-postcontainerns identitet. Om någon har ändrat miljön manuellt ska skriptet stanna i stället för att ta över.
- Läs bara det fjärrbaserade manifestet och beräkna en jämförbar digest; hämta inga image-lager i detta steg. Nätverks-, autentiserings- eller tolkningsfel ska lämna den nuvarande tjänsten orörd. Ett tomt digestvärde får aldrig behandlas som en ny version.
- Om digesten matchar den godkända versionen ska skriptet varken hämta image-lager, återskapa containern eller skriva en uppdateringslogg. En digest som redan satts i karantän ska också hoppas över tills en ny digest publiceras eller en administratör häver karantänen.
- Hämta imagen med den fasta digesten och kontrollera att en lokal image för rätt plattform finns samt att disken har tillräckligt med utrymme. Den gamla gatewayen ska fortsätta köras under hämtningen. Om hämtningen misslyckas får den befintliga containern inte röras.
- Bevara den gamla imagen och kompatibel konfiguration, skriv transaktionen beständigt som ”redo för växling” och återskapa bara gateway-tjänsten.
- Kontrollera att den nya containern kör rätt image, att den är igång och att applikationens hälsokontroll godkänns. Först därefter får den nya versionen markeras som godkänd.
- Om återskapandet misslyckas, eller om den nya tjänsten inte klarar hälsokontrollen inom tidsfönstret, återställ från den lokalt bevarade imagen och den ursprungliga konfigurationen. Kör sedan samma hälsokontroller på den gamla versionen.
- Om återställningen lyckas ska den beständiga driftsättningsreferensen återställas, den misslyckade digesten sättas i karantän och händelsen loggas. Om återställningen misslyckas ska materialet för återställning sparas, körningen rapportera fel och larma – utan en oändlig omstartsslinga.
Följande är exempel på centrala kommandon, inte ett komplett eller godkänt installationsskript. Beständig transaktionslagring, identitetskontroller och återställning efter avbrott måste också implementeras:
# Värden kommer från validerad konfiguration som vanliga konton inte kan ändra.
exec 9>"$LOCK_FILE"
flock -n 9 || exit 0
# Läs endast manifestet. Kontrollera först Skopeos autentiseringsfil
# och hur verktyget hanterar råa manifest.
timeout --kill-after=2s 15s \\
skopeo inspect --authfile "$DOCKER_CONFIG/config.json" \\
--raw "docker://$TRACK_IMAGE" \\
</dev/null >"$MANIFEST_TMP"
# Kontrollera exit-status innan digesten beräknas.
# Använd aldrig ofullständiga utdata efter ett fel.
# NEW_REF ska vara ett validerat ghcr.io/repository@sha256:digest.
timeout --kill-after=5s 600s \\
docker pull "$NEW_REF" </dev/null
# Före detta steg ska transaktionen ha sparats beständigt
# och den lokala återställningsimagen ha verifierats.
APP_IMAGE="$NEW_REF" timeout --kill-after=5s 60s \\
docker compose --project-name "$PROJECT" \\
--project-directory "$DEPLOY_DIR" -f "$COMPOSE_FILE" \\
up -d --no-deps --no-build --pull never app </dev/null
# Vid fel: OLD_LOCAL_REF är en bevarad och kontrollerad lokal image-tagg.
APP_IMAGE="$OLD_LOCAL_REF" timeout --kill-after=5s 60s \\
docker compose --project-name "$PROJECT" \\
--project-directory "$DEPLOY_DIR" -f "$COMPOSE_FILE" \\
up -d --no-deps --no-build --pull never app </dev/null
Compose-alternativen ska hindra byggen, start av beroenden och extra hämtningar under återskapandet. Kommandot riktas enbart mot gateway-tjänsten.2 Använd inte omstart av hela projektet, borttagning av föräldralösa tjänster eller stopp av hela stacken.
En timeout betyder inte att en åtgärd i Dockers bakgrundsprocess har avbrutits. Vid timeout måste skriptet först kontrollera det verkliga containertillståndet och samordna eventuell återställning. Det får inte omedelbart starta en konkurrerande växling. Vid tvångsavslut eller strömavbrott kan man inte förlita sig på att en avslutningsrutin körs; nästa start ska i stället läsa den sparade transaktionen och prioritera återställning.
Hälsokontroller
Som startvärden kan man prova en total kontrollperiod på 60 sekunder, en sekunds anslutningstimeout, högst tre sekunder per anrop, två sekunder mellan kontrollerna och tre lyckade kontroller i följd innan versionen godkänns. Det är förslag, inte uppmätta resultat.
- Anropa den lokala modellkatalogen och kräv HTTP 200 utan att följa omdirigeringar. Kontrollera JSON-strukturen så att exempelvis en inloggningssida eller felsida från en proxy inte räknas som ett lyckat svar.
- Kontrollera att den körande gateway-containern använder den föreslagna imagen och att omstartsantalet inte fortsätter att öka. Annars kan ett svar från den gamla processen ge ett falskt godkänt resultat.
- Om modellkatalogen måste innehålla minst en post ska det följa av kontraktet för det aktuella registret. Hårdkoda inte ett historiskt antal på arton poster.
- En separat hälsokontroll kan läggas till, men uppdateraren ska inte automatiskt skicka en riktig chattförfrågan som förbrukar kvot. Verklig tjänsteanvändning behöver godkännas separat.
Anpassning av fjärrdriftsättningen och hantering av hemligheter
Ändra bara bildkällan i kopian av Compose-konfigurationen för de två fjärrservrarna. Behåll portar, minnesbegränsningar, loggning, miljövariabler, skrivskyddad konfigurationsmontering och e-postinställningar. Skriv inte över den lokala utvecklingskonfigurationen: gatewayens byggfält.
services:
app:
image: "${APP_IMAGE:?En fast image-referens måste anges}"
pull_policy: never
Detta är ett utdrag, inte en fullständig Compose-fil. Driftsättningskatalogen måste innehålla hela den ursprungliga tjänstedefinitionen, och gatewayens build-fält ska tas bort. Den sparade image-referensen ska vara digesten för den godkända versionen eller en lokal återställningstagg – inte latest vid manuell omstart.
- Fastställ och kontrollera det befintliga Compose-projektnamnet. Ett nytt projektnamn kan oavsiktligt skapa ett annat nätverk och ändra hur e-posttjänsten nås. Utgå inte från att det lokala projektet och de två fjärrservrarna har samma namn.
- Behåll de faktiska miljövariablerna på fjärrservrarna. Compose-interpolering och miljövariabler inne i containern är två skilda saker; en variabel blir inte automatiskt tillgänglig i containern bara för att den finns i en miljöfil.
- Den aktuella konfigurationen aktiverar uttryckligen två experimentfunktioner, medan projektets faktaunderlag utgår från att de som standard är avstängda. Uppgiften innebär inte att ändra dessa reglage. Kontrollera deras värden på fjärrservrarna i stället för att anta att den lokala konfigurationen motsvarar det som redan är installerat: inställningar för experimentfunktioner, projektets faktagränser.
- Fjärrservrarna ska bara behöva driftsättningskonfiguration, körningskonfiguration och färdigbyggda images – inte en källkodskopia eller skrivrättigheter till kodarkivet. Om en uppdatering kräver en inkompatibel konfigurationsmigrering behövs en återställningsbar migreringsplan innan den får publiceras automatiskt.
För privat GHCR bör varje VPS använda en personlig åtkomsttoken (classic) med läsbehörighet för paketet. Kontrollera att kontot bakom tokenen faktiskt har åtkomst till paketet och att eventuell SSO-auktorisering för organisationen är klar. Ge inte VPS-servrarna CI-systemets skrivtoken eller rätt att skriva till, ta bort eller ändra källkod.9
Föreslagen hantering:
- Ge varje VPS en separat, återkallelig läsbehörighet. Logga in i Docker via standard input så att tokenen inte hamnar i argument eller revisionsloggar.
9
- Lägg autentiseringskonfigurationen i en särskild katalog som bara administratörer kan läsa. Uppdateraren och verktyget som läser manifest ska använda samma verifierade konfiguration.
- Skicka inte tokenen vidare till gateway- eller e-postcontainern. Ha en rutin för utgångsdatum och återkallning; ett autentiseringsfel ska stoppa uppdateringen utan att påverka den gamla tjänsten.
Schemaläggning med systemd
systemd är det föreslagna förstahandsvalet. Följande enheter är utkast till deploy/systemd/aurora-update.service och deploy/systemd/aurora-update.timer; de är exempel för en fjärrinstallation och har inte installerats.
[Unit]
Description=Aurora: uppdatering och återställning av native image
After=docker.service network-online.target
Wants=network-online.target
[Service]
Type=oneshot
User=root
WorkingDirectory=/opt/aurora
Environment=DOCKER_CONFIG=/etc/aurora-updater/docker
ExecStart=/opt/aurora/scripts/auto-update.sh
TimeoutStartSec=20min
UMask=0077
Nice=10
IOSchedulingClass=idle
NoNewPrivileges=yes
StandardOutput=journal
StandardError=journal
[Unit]
Description=Aurora: schemalagd kontroll av image-uppdateringar
[Timer]
OnBootSec=1min
OnUnitInactiveSec=5min
RandomizedDelaySec=30s
AccuracySec=1s
Unit=aurora-update.service
[Install]
WantedBy=timers.target
Installera inte och aktivera inte timern förrän beroenden och konfiguration har kontrollerats, en frisk gammal version har sparats som återställningspunkt och upplägget har provkörts i en godkänd isolerad miljö. Körningarna ska ske en i taget: nästa start räknas från att föregående tjänst har avslutats, och fillåset skyddar mot överlappning. Lägg de två noderna på olika tider så att de inte hämtar samtidigt eller drabbas av ett uppdateringsfel samtidigt.
Schemaläggningen ger till slut en gemensam version, inte en atomär synkronisering. Om en nod återställer efter ett fel ska den äldre versionen få ligga kvar tills en ny image kommer; det är säkrare än att tvinga igenom samma trasiga digest. Lägre prioritet för uppdateraren garanterar inte att CPU-toppar vid Dockers uppackning också begränsas – det måste mätas på de faktiska servrarna.
”Tyst” betyder här att skriptet inte skriver verksamhetsutdata eller uppdateringshistorik när inget ändrats. systemd kan fortfarande logga att en tjänst har startat eller avslutats.
Loggning och säker städning
- Logga UTC-tid, nod-ID, transaktions-ID, gamla och nya digestar, transaktionssteg, tidsåtgång, hälsokontroll och återställningsresultat. Logga inte hemligheter, hela miljön, e-postkonton eller innehållet i svar.
- Ett möjligt upplägg för uppdaterarens egna loggar är logrotate en gång i veckan, tidigare rotation vid 1 MB och komprimering med 26 sparade versioner. Det är en föreslagen retention, inte en ändring av värdens globala loggpolicy.
- Kör inte global image- eller volymrensning. Veckovis städning får bara hantera äldre images som uppdateraren själv har registrerat, och ska använda samma transaktionslås.
- Skydda alltid den aktuella versionen, den senast fungerande föregångaren och images som hör till en oavslutad transaktion. Kontrollera också att ingen befintlig container använder imagen och att dess taggar inte har annat syfte.
- För historiska images som uppdateraren äger och som passerat en föreslagen gräns på fjorton dagar: ta först bort uppdaterarens egen bevaringstagg och försök sedan ta bort imagen utan tvång. Om borttagningen misslyckas ska den bevaras och felet loggas.
- En image som visas som ”dangling” är inte automatiskt överflödig; den kan vara manuellt sparat återställningsmaterial. Om diskutrymmet inte räcker före hämtningen ska uppdateringen avbrytas, inte frigöra utrymme genom att ta bort den enda återställningspunkten.
Genomförande och godkännandekriterier
- Kontrollera driftsättningen: verifiera de två VPS-servrarnas plattformar, verktygsversioner, projektnamn, konfigurationsmonteringar, åtkomst till hemligheter och den image som körs och är frisk. Spara en återställningspunkt.
- Bygg uppdateraren: implementera digestkontroll, beständig transaktionsstatus, växling av en enda tjänst, hälsokontroller, återställning och karantän för misslyckade digestar. Öva i en godkänd isolerad miljö först; ändra inte produktionen under den fasen.
- Lägg till schemaläggning och underhåll: koppla in timern, loggrotation och avgränsad städning. Kontrollera låsning, timeout, tvångsavslut och återhämtning efter omstart.
- Rulla ut en nod i taget: den första noden måste klara både en verklig uppdatering och en återställning innan timern aktiveras på den andra.
Godkännandet bör minst visa att:
- En oförändrad digest inte leder till hämtning av image-lager, återskapad container eller uppdateringslogg. Mät separat tiden för nätverkskontrollen och den lokala jämförelsen. Ett löfte om under en sekund från början till slut kräver mätningar i den faktiska miljön.
- E-postcontainerns ID, starttid och förinställda meddelanden är oförändrade efter både lyckad uppdatering och återställning.
- En trasig image, ett svar som inte är HTTP 200, en överskriden hälsokontroll eller ett misslyckat återskapande leder tillbaka till den gamla imagen. Prova också att GHCR inte går att nå och kontrollera att lokal återställning fungerar ändå.
- Om uppdateraren stoppas i olika kritiska steg återhämtar nästa körning sig från den sparade transaktionen och försöker inte upprepade gånger installera en digest i karantän.
- Ingen image byggs lokalt, ingen Docker-socket monteras och inga hemligheter läcker. Flera samtidiga startförsök ska ge en enda transaktion, och städningen ska lämna skyddade images kvar.
Slutsats: det värdbaserade upplägget är värt att genomföra om ett kort avbrott i gatewayen accepteras, kravet på subsekundkontroll behandlas som ett mål att mäta och de faktiska fjärrmiljöerna verifieras först. Utan återkoppling från VPS-servrarna går det inte att säga att kompatibilitet, prestanda eller hela återställningskedjan redan är testad. Det här är endast en plan; ingen ADR har skapats och ingen befintlig plan har skrivits över.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Så kan två VPS-servrar uppdatera en Docker-gateway med lokal återställning"?
Förslaget använder värdens systemd timer, images låsta till digest och en lokalt sparad återställningsversion – utan en separat uppdateringscontainer.
What are the key points to validate first?
Förslaget använder värdens systemd timer, images låsta till digest och en lokalt sparad återställningsversion – utan en separat uppdateringscontainer. En uppdatering ska bara återskapa gateway tjänsten. E postcontainern lämnas orörd, och misslyckade hälsokontroller ska utlösa återställning.
What should I do next in practice?
Det här är en plan, inte en genomförd installation: inga filer har skrivits, tester körts eller VPS servrar ändrats.