छोटे VPS के लिए सेल्फ़-होस्टिंग स्टैक: 2 GB और 4 GB RAM में क्या आता है

संक्षेप में: 2 GB VPS पर Docker Compose के तहत Caddy (HTTPS reverse proxy), Vaultwarden (पासवर्ड), Uptime Kuma (मॉनिटरिंग) और Forgejo (git) का सेल्फ़-होस्टेड कोर आराम से चलता है, लगभग 0.6 से 1 GB RAM में। Nextcloud जोड़ना हो तो 4 GB चाहिए; Syncthing या File Browser जैसे हल्के टूल चुनें तो 2 GB भी काफ़ी है।

यह गाइड एक काम करने वाली Compose फ़ाइल, हर सर्विस का RAM बजट, और वे दो चीज़ें देता है जिन्हें ज़्यादातर selfhosted सेटअप तब तक नज़रअंदाज़ करते हैं जब तक बहुत देर न हो जाए: off-site बैकअप और कसकर बंद किया गया नेटवर्क सरफ़ेस। कमांड्स मानती हैं कि Debian 12/13 या Ubuntu 24.04 पर Docker की आधिकारिक repository से Docker Engine और Compose plugin इंस्टॉल हैं।

हर सर्विस का RAM बजट

आँकड़े एक से पाँच उपयोगकर्ताओं के लिए, जहाँ समर्थित हो वहाँ SQLite के साथ, idle से हल्के उपयोग तक की सामान्य resident memory हैं। अपग्रेड, बड़ी repositories के git clone या Nextcloud previews के दौरान peaks ज़्यादा हो सकते हैं, इसलिए कम से कम 20% गुंजाइश छोड़ें और 1 से 2 GB की swap फ़ाइल जोड़ें।

VPS का आकार चुनना

कोर स्टैक (Caddy, Vaultwarden, Uptime Kuma, Forgejo) और बेस सिस्टम मिलाकर लगभग 0.6 से 1 GB होता है, जो 2 vCPU / 2 GB सर्वर में Syncthing और Radicale की जगह के साथ आ जाता है। MariaDB और Redis के साथ Nextcloud कुल को लगभग 1.5 से 2.2 GB तक ले जाता है, इसलिए पूरा सूट और बाकी सब चाहिए तो 4 GB व्यावहारिक न्यूनतम है। डिस्क भी मायने रखती है: Forgejo repositories और सिंक की गई फ़ाइलें बढ़ती हैं, जबकि सर्विसेज़ को खुद कुछ ही GB चाहिए।

NoctisNode पर Pulse प्लान (2 vCPU, 2 GB RAM, 40 GB NVMe, $10 प्रति 28 दिन) में कोर स्टैक आता है, और Umbra (4 vCPU, 4 GB, 60 GB NVMe, $15 प्रति 28 दिन) में कोर के साथ Nextcloud भी। दोनों KVM हैं, पूरे root और dedicated IPv4 के साथ, और इनका भुगतान Monero या दूसरे क्रिप्टो में किया जा सकता है। इस गाइड में कुछ भी प्रोवाइडर पर निर्भर नहीं है।

Docker Compose फ़ाइल

केवल Caddy वेब पोर्ट publish करता है; ऐप्स तक केवल आंतरिक Compose नेटवर्क से पहुँचा जा सकता है। Forgejo, SSH पर git के लिए पोर्ट 2222 भी publish करता है, ताकि होस्ट का OpenSSH अपने पोर्ट पर रहे। `.env` फ़ाइल में `FORGEJO_TAG` को Forgejo के मौजूदा major वर्ज़न पर सेट करें और उदाहरण वाले डोमेन अपने DNS रिकॉर्ड से बदलें।

# /srv/stack/compose.yaml
services:
  caddy:
    image: caddy:2
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - ./caddy/data:/data
      - ./caddy/config:/config

  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"   # set to "false" after creating your account
    volumes:
      - ./vaultwarden:/data

  uptime-kuma:
    image: louislam/uptime-kuma:2
    restart: unless-stopped
    volumes:
      - ./uptime-kuma:/app/data

  forgejo:
    image: codeberg.org/forgejo/forgejo:${FORGEJO_TAG}
    restart: unless-stopped
    environment:
      USER_UID: "1000"
      USER_GID: "1000"
      FORGEJO__service__DISABLE_REGISTRATION: "true"
    volumes:
      - ./forgejo:/data
    ports:
      - "2222:22"

# /srv/stack/Caddyfile
# vault.example.com {
#     reverse_proxy vaultwarden:80
# }
# status.example.com {
#     reverse_proxy uptime-kuma:3001
# }
# git.example.com {
#     reverse_proxy forgejo:3000
# }

स्टैक चालू करना

1. 01.`vault`, `status` और `git` के A (और AAAA) रिकॉर्ड सर्वर के IP पर पॉइंट करें, ताकि Caddy पहली बार शुरू होते ही सर्टिफ़िकेट ले सके।
2. 02.`/srv/stack` बनाएँ, उसमें `compose.yaml`, `Caddyfile` और `.env` रखें, और `docker compose up -d` चलाएँ।
3. 03.Forgejo URL खोलें और इंस्टॉलर पूरा करें; इसके ज़रिए बनाया गया पहला खाता एडमिन बनता है, क्योंकि पब्लिक रजिस्ट्रेशन बंद है।
4. 04.अपना Vaultwarden खाता बनाएँ, फिर `SIGNUPS_ALLOWED` को `"false"` पर सेट करें और `docker compose up -d` दोबारा चलाएँ। जब तक आप Argon2-hashed `ADMIN_TOKEN` सेट न करें, एडमिन पैनल बंद रखें।
5. 05.शुरू होते ही Uptime Kuma का एडमिन यूज़र बनाएँ, क्योंकि तब तक सेटअप पेज किसी के लिए भी खुला रहता है।
6. 06.हर सर्विस और सर्टिफ़िकेट की समाप्ति के लिए monitors जोड़ें, बेहतर हो कि किसी दूसरी लोकेशन से, क्योंकि उसी सर्वर पर चलने वाला monitor अपनी ही outage की रिपोर्ट नहीं कर सकता।

Note · Caddy अपने-आप HTTPS संभालता है। Headers, rate limits और ज़्यादा जटिल routing के लिए Caddy reverse proxy गाइड देखें।

ऐसे बैकअप जो सच में restore हों

रखने लायक सब कुछ `/srv/stack` में है: SQLite डेटाबेस, Forgejo repositories, Caddy सर्टिफ़िकेट और आपका config। प्रोवाइडर snapshots पर भरोसा न करें; restic से अपनी encrypted, off-site कॉपी रखें, जैसा restic बैकअप गाइड में बताया गया है।

सर्विस के लिखते समय कॉपी की गई SQLite फ़ाइलें असंगत हो सकती हैं। छोटे सर्वर पर सबसे आसान सुरक्षित तरीका है बैकअप के एक मिनट के लिए स्टैक रोक देना। अगर आप MariaDB के साथ Nextcloud जोड़ते हैं, तो restic चलाने से पहले `mariadb-dump` से डेटाबेस dump करें। कम से कम एक बार किसी अस्थायी डायरेक्टरी में restore की जाँच करें; जिस बैकअप को आपने कभी restore नहीं किया, वह सिर्फ़ अनुमान है।

#!/bin/sh
# /usr/local/sbin/stack-backup (run nightly from cron or a systemd timer)
# needs RESTIC_REPOSITORY and RESTIC_PASSWORD_FILE in the environment
cd /srv/stack || exit 1
docker compose stop
rc=0
restic backup /srv/stack --tag stack || rc=$?
docker compose start
[ "$rc" -eq 0 ] || exit "$rc"
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune

सुरक्षा की बुनियादी बातें

• ▹SSH: केवल keys, root पासवर्ड लॉगिन नहीं, चाहें तो non-standard पोर्ट; [SSH hardening गाइड](/guides/ssh-hardening) देखें।
• ▹फ़ायरवॉल से जुड़ी सावधानी: Docker के publish किए पोर्ट `ufw` नियमों को bypass कर देते हैं, क्योंकि Docker अपनी iptables/nftables chains लिखता है। केवल वही publish करें जो पब्लिक होना ज़रूरी है (80, 443, 2222) और डेटाबेस या एडमिन पोर्ट कभी publish न करें।
• ▹अपडेट: होस्ट के लिए `unattended-upgrades` चालू करें, और `docker compose pull && docker compose up -d` ऐसे शेड्यूल पर चलाएँ जिसका आप सच में पालन करें।
• ▹रजिस्ट्रेशन: Vaultwarden और Forgejo में पब्लिक साइन-अप बंद रखें; इसके बजाय यूज़र्स को आमंत्रित करें।
• ▹डिस्क encryption: `/srv` को [encrypted root](/guides/luks-encrypted-root) पर रखें ताकि कॉपी की गई डिस्क इमेज से कुछ पता न चले; रिमोट सर्वर पर [SSH पर LUKS रिमोट अनलॉक](/guides/luks-remote-unlock-ssh) इस्तेमाल करें, और [LUKS2 vs LUKS1](/guides/luks2-vs-luks1) में समझाए गए LUKS2 फ़ॉर्मैट को प्राथमिकता दें।
• ▹Secrets: `.env` और Vaultwarden डेटा डायरेक्टरी केवल root के लिए पढ़ने योग्य होनी चाहिए (`chmod 600`/`700`)।

अक्सर पूछे जाने वाले सवाल