VPS 上跑多个容器，最怕的不是某个服务慢，而是一个容器把整台机器的 CPU 或内存耗尽，把旁边所有服务一起拖跨。Docker 给每个容器设资源配额的能力，底层依赖内核的 cgroups 机制——这套内核限制系统决定了"谁可以占多少 CPU、多少内存、多少进程...

代码放哪里，决定了后面构建、发布、权限、审计往哪走。把私有仓库托付给国外平台，动不动就遇到网络不畅、隐私顾虑、功能要付费；而 Gitea 是一个只有几十 MB、启动极快的自托管 Git 服务，再配合 Gitea Actions，它把"代码托管 + CI/CD ...

上一轮聊过 Docker 的卷备份，但"本地 tar 包"离真正的备份还差三件事：有没有异地一份、有没有加密、有没有历史版本可回退。这三件事正是 restic 的看家本领。restic 是一个快照式、加密、去重的备份工具：每次备份生成的快照只存下与上一次不同的...

家里有一台 NAS，公司在另一座城市，手机在地铁上，你想让这三处访问彼此的内网服务，又不想把端口一个个暴露到公网。传统 VPN 方案（OpenVPN、IPsec）都要维护证书中心、隧道配置又重又慢。WireGuard 把"两端各持一对密钥 + 一条 UDP 隧...

服务器挂掉之前，通常不是突然砸下来的，而是一连串指标先变了：内存占用爬升、磁盘填满、请求响应变慢。问题是这些信号散落在十几台容器的日志和 top 里，没有一个人能同时盯着。Prometheus + Grafana 这套自托管监控栈解决的是"把服务器和容器的数百...

一台暴露在公网、上面跑自托管全家桶的 VPS，本质是"一台机器 + 一堆 root 权限的容器进程"。Docker 的便利让人觉得容器是隔离的，但默认情况下 Docker 守护进程、容器网络、宿主机内核之间共享的东西比你以为的多得多。这篇文章按 Linux 防...

很多自托管的人第一次丢数据，不是服务器被黑客端了，而是在某次"顺手升级镜像"后，容器起不来了，配置文件还在但数据库没了，或者干脆是目录挂错了。Docker 的易用性掩盖了一个事实：容器本身是"用完即焚"的临时进程，真正的身家性命全在数据持久化和升级策略上。这篇...

当你用 Docker 在 VPS 上跑起七八个自建应用（Navidrome、FreshRSS、Calibre-Web、Grafana……），第一个冒出来的问题是：每个容器都暴露一个端口，端口号全靠脑子记，明文 HTTP 到处裸奔，证书还要手动续期。Traefi...

当我们终于把照片还给 Immich、把影音还给 Jellyfin、把密码还给 Vaultwarden、把记账还给 Firefly III 之后，还有一个每天被我们打开最多次的角落没有收回自己手里：刷资讯。朋友圈、短视频、算法信息流，都是把"别人的排序"硬塞给你...

站点已经替“家庭数字生活”圆了很多愿望：代码进了 Gitea、照片进了 Immich、影音进了 Jellyfin、密码进了 Vaultwarden、笔记进了 Memos、账本进了 Firefly III——但有一类每天都在发生、却总是靠“脑子里记着”和“微信置...