Docker Lab

Installer Mosquitto

Mon, 27 Jul 2026 00:00:00 +0000

Introduction

MQTT (Message Queuing Telemetry Transport) est un protocole de messagerie pour la communication entre les périphériques IoT.

Il est utilisé fréquemment en domotique pour centraliser et automatiser des périphériques hétérogènes.

Il nous servira de base de communication pour des prochaines articles sur la Domotique et Docker.

Pour cette installation j’utilise l’image qui est présente ici : Mosquitto

Le fichier compose.yaml

Voici le fichier compose.yaml à deposer dans le répertoire contenant vos piles (par exemple /opt/docker/projects/) ou à coller dans votre interface de gestion (autre que Arcane).


services:
  mosquitto:
    image: eclipse-mosquitto
    container_name: mosquitto
    restart: always
    volumes:
      - /opt/docker/data/mosquitto/config:/mosquitto/config:rw
      - /opt/docker/data/mosquitto/data:/mosquitto/data:rw
      - /opt/docker/data/mosquitto/log:/mosquitto/log:rw
    ports:
      - 8102:1883 #default mqtt port
      - 8103:9001 #default mqtt port for websockets
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Europe/Paris
    networks:
      - mqtt_network
networks:
  mqtt_network:
    external: true
    name: mqtt_network

Vous devrez adapter ce fichier en personnalisant les parametres suivants :

ports : J’utilise des ports alternatif en entrée : 1802 et 1803.
networks : Je choisis le nom du réseau qui servira de lien à tous les autres images Docker relié au broker MQTT
PUID/GUID : A adapter à l’utilisateur de lancement de l’image Docker
volumes : la configuration doit être accessible depuis l’exterieur

Je sauvegarde le fichier compose.yaml sans créer pour le moment le container.

Creation de la configuration

Il faut créer le fichier de configuration mosquitto.conf dans votre répertoire de configuration.

Si on se refaire au ficher compose, il se trouve dans mon exemple dans “/opt/docker/data/mosquitto/config”

Si le répertoire n’existe pas ; créer le et copier le contenu suivant dans le fichier mosquitto.conf.


allow_anonymous false
listener 8102
listener 8103
protocol websockets
persistence true
password_file /mosquitto/config/pwfile
persistence_file mosquitto.db
persistence_location /mosquitto/data

J’ai repris les même ports que ceux du fichier compose. Je choisis un accés sécuriser au broker via un nom d’utilisateur et un mot de passe.

Remarque : Si vous ne souhaitez pas sécuriser les accès au broker, changer la variable “allow_anonymous” à “true”. Dans ce cas vous pourrez sauter tous ce qui suit et lancer simplement le container.

Il reste maintenant à créer un fichier pwfile vide via la commande touch opt/docker/data/mosquitto/config/pwfile (à adapter suivant votre fichier compose).

Lancement container et création utilisateur

On déploi l’image soit en ligne de commande : sudo docker compose up -d ; soit via votre interface de gestion.

Il faut maintenant créer un utilisateur, pour cela on lance un shell dans le container : docker exec -it <nom_image> /bin/sh

On tape ensuite la commande suivante : mosquitto_passwd -c /mosquitto/config/pwfile votre_utilisateur en remplacant “votre_utilisateur” pour le nom d’utilisateur que vous souhaitez créer.

Aprés avoir valider la commande ; il vous est demandé de rentrer un mot de passe pour cet utilisateur.

C’est cet utilisateur et ce mot de passe qui vous sera nécessaire pour communiquer avec le broker MQTT.

Page de maintenance Web

Sun, 26 Jul 2026 00:00:00 +0000

Introduction

Parfois, il est necessaire d’arrêter certains services pour effectuer des travaux divers. Nous allons utiliser une image docker basique pour afficher une page de maintenance configurable dans un fichier compose.yaml.

Il suffira dans NPM de rediriger votre domaine en maintenance vers cette page le temps de vos travaux.

Pour cette installation j’utilise cette image qui est présente ici : Simple maintenance page

Le fichier compose.yaml

Voici le fichier compose.yaml à deposer dans le répertoire contenant vos piles (par exemple /opt/docker/projects/) ou à coller dans votre interface de gestion (autre que Arcane).


services:
  maintenance:
    image: wickerlabs/maintenance
    container_name: maintenance
    environment:
      HEADLINE: "Maintenance serveur...."
      TEAM_NAME: "Yannick Informatik"
      TITLE: "Oops!"
      MAIL_ADDRESS: "contact@yannickinformatik.fr"
      LINK_COLOR: "#dc8100"
      THEME: "Light"
      PORT: 8080
      RESPONSE_CODE: "503 Service Unavailable"
      MESSAGE: "16 Juillet 2026 - Travaux en cours : Changement d'architecture et de moteur de blog..."
      CONTACT_LINK: "contact@yannickinformatik.fr"
    ports:
      - 8100:8080

Vous devrez adapter ce fichier en personnalisant le message affiché et le code HHTP retourné par le serveur. Vous pouvez aussi ajuster le port d’entré (8100 chez moi pour éviter les conflits potentiels sur le port 8080).

Test de la page de maintenance

Sélectionner l’hôte proxy à modifier sur NPM et faite le pointer vers le nouvel hôte sur le port 8100.

Vous devriez tomber sur cette page :

Personnaliser ses logs avec Nginx Proxy Manager

Sun, 26 Jul 2026 00:00:00 +0000

Introduction

Bien que NPM utilise Nginx ; il utilise son propre format de log ; ce qui le rend incompatible avec des outils tiers d’analyse de logs comme “fail2ban”

La personnalisation du format des logs n’est pas possible par l’interface de NPM ; il faudra donc les modifiers via un fichier de configuration accesible via un volume monté dans le fichier compose.yaml de NPM (voir Installation de Nginx Proxy Manager)

Ajout d’un template de log alternatif

Le volume monté “/opt/docker/data/npm” rend accessible les répertoires de configurations de bases de NPM.

Nous allons créer un fichier ‘http_top.conf’ dans le répertoire “nginx/custom” dont le contenu sera le suivant :


log_format nom_log '$remote_addr $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $host';

Il faudra changer le paramètre “nom_log” à votre convenance. Le template est au format standard ‘Nginx’ ; mais je lui rajoute le parametre ‘$host’ en fin de ligne pour afficher l’URL demandée lors d’une requête au serveur proxy NPM.

Utilisation du log alternatif dans vos hôtes proxy

Pour chacun de vos hôtes proxy pour laquel vous souhaitez personnalisé les fichiers de log, il faudra allez dans la partie “Configuration Nginx personnalisé” et y ajouter la ligne suivante access_log /data/logs/dockerlab.log nom_log;

Remarque : J’ai monté un volume “/data/logs” pour pouvoir générer mes logs en dehors du container Docker pour qu’ils puissent être analyser par dse outils tiers sur mon hôte docker.

Il faut relancer votre container npm pour que les modifications soient prise en compte.

Installation Arcane

Sat, 25 Jul 2026 00:00:00 +0000

Introduction

Arcane est une interface web moderne pour gérer facilement vos images réseaux et containers Docker. Ils est multi hôte, grace à un systeme d’agent ou via la création d’uncluster Swarn.

Pour cette installation j’utilise l’image officielle qui est présente ici : Arcane

Le fichier compose.yaml

Voici le fichier compose.yaml à deposer dans le répertoire contenant vos piles (par exemple /opt/docker/projects/) ou à coller dans votre interface de gestion (autre que Arcane).


services:
  arcane:
    image: ghcr.io/getarcaneapp/arcane:latest
    container_name: arcane
    ports:
      - 3552:3552
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - /opt/docker/data/arcane:/app/data
      - /opt/docker/projects:/opt/docker/projects # doit être identique à gauche et à droite
    environment:
      - APP_URL=http://localhost:3552
      - PROJECTS_DIRECTORY=/opt/docker/projects # doit être identique au volume monté
      - PUID=1000
      - PGID=1000
      - TZ=Europe/Paris      
      - ENCRYPTION_KEY=secret_key
      - JWT_SECRET=secret_jwt
    restart: unless-stopped

Vous devrez adapter ce fichier à votre environnement de travail Docker. J’utilise le chemin /opt/docker/data/mon_container pour tous mes containers docker.

PROJECTS_DIRECTORY : Contient le chemin de vos piles dockers (doit être identique au volume monté si vous souhaiter déposer vos piles à la main dans le repertoire projet).
ENCRYPTION_KEY : Votre clé secrête (voir plus bas).
JWT_SECRET : Votre jeton secret (voir plus bas).
PUID/GUID : L’utilisateur utilisé pour lancer le container.

Pour créer la clé secrête et le jeton, ouvrez une ligne de commande et taper la commande openssl rand -base64 32 deux fois et recopier les valeurs obtenues.

Une fois le fichier créer ; déployer l’image soit en ligne de commande : sudo docker compose up -d ; soit via votre interface de gestion.

Vous pouvez maintenant accèder à l’interface de NPM : http://votreip:3552

Configuration

1er Lancement

Il faut dans un premier temps créer un compte Administrateur :

Une fois le compte créé, vous arrivez au niveau du tableau de Bord :

L’onglet environnement contient les différents hôte géré par Arcane :

Ajour d’un hôte distant

Arcane permet de gérer sur une même interface des hôtes locaux et distants.

Nous allons ajouter un hôte distant ; pour cela un click sur “Ajouter Environnement” :

Il faut renseigner l’adresse IP de votre hôte distant. Une fois le formulaire rempli, cliquez sur “Générer la configuration de l’agent”

Il vous proposera le fichier compose.yaml à déployer sur votre serveur distant. Je n’utilise pas celui proposé, mais noté bien par contre la clé API généré par Aracne.

Le fichier compose de l’hôte distant

J’ai constaté un problème de communication entre Arcane et son agent en utilisant l’image Docker proposé dans le fichier compose.yaml généré par l’interface Arcane. J’utilise un fichier compose légèrement différent, en selectionnant une image différente que celle proposée à l’étape précèdante.


services:
  arcane-agent:
    image: ghcr.io/getarcaneapp/arcane-headless:latest
    container_name: arcane-agent
    restart: unless-stopped
    environment:
      - AGENT_MODE=true
      - EDGE_TRANSPORT=poll
      - AGENT_TOKEN=votre-token-generer-precedamment
      - MANAGER_API_URL=http://IP_ARCANE:3552
      - PROJECTS_DIRECTORY=/opt/docker/projects
      - PUID=1000
      - PGID=1000
      - TZ=Europe/Paris
    ports:
      - 3553:3553
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - /opt/docker/data/arcane:/app/data
      - /opt/docker/projects:/opt/docker/projects

Une fois le fichier créer ; déployer l’image soit en ligne de commande : sudo docker compose up -d ; soit via votre interface de gestion.

Retourner sur l’interface d’Arcane et vous devriez voir votre hote passé de l’état “Pending” à “Online”

Pour des besoins d’illustrations ; sur mon interface, cet hôte se prénomme “Test Docker” :

Recommencer la procédure autant de fois que vous avez d’hôtes distants.

Security Headers pour Nginx Proxy Manager

Sat, 25 Jul 2026 00:00:00 +0000

Introduction

NPM (Nginx Proxy Manager) propose par défaut une configuration minimale des en-têtes HTTP. En faisant un test de vulnérabilité en ligne sur https://securityheaders.com/ ; vos services web sortiront avec un mauvais score “D”.

Nous allons donc utiliser un template global pour NPM afin de sécuriser l’ensemble de vos hôtes proxy.

Ajout d’un template HTST global pour NPM

Modification de votre fichier compose.yaml

Reprenons le fichier compose.yaml initial du précédant article Installation de Nginx Proxy Manager.

Nous allons y ajouter un volume qui contiendra notre fichier de configurqtion _HTST opersonnalisé.


services:
  app:
    image: 'docker.io/jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    container_name: npm
    environment:
      - TZ=Europe/Paris    
    ports:
      - 80:80
      - 81:81
      - 443:443
    volumes:
      - /opt/docker/data/npm:/data
      - /opt/docker/data/log:/data/logs
      - /opt/docker/data/npm/letsencrypt:/etc/letsencrypt
      - /opt/docker/data/npm/templates/_hsts.conf:/app/templates/_hsts.conf:ro # A rajouter

Vous devrez adapter ce fichier à votre environnement de travail Docker. J’utilise le chemin /opt/docker/data/mon_container pour tous mes containers docker.

Le fichier /opt/docker/data/npm/templates/_hsts.conf contient le templates global de modifications des en-têtes HTTP.

Pour l’instant ne redemarrer pas votre container NPM.

Fichier template _htst.conf

Le fichier template à rajouter est le suivant :


{% if certificate and certificate_id > 0 -%}
  {% if ssl_forced == 1 or ssl_forced == true %}
    {% if hsts_enabled == 1 or hsts_enabled == true %}
      # HSTS (ngx_http_headers_module is required) (63072000 seconds = 2 years)
      add_header Strict-Transport-Security "max-age=63072000;{% if hsts_subdomains == 1 or hsts_subdomains == true -%} includeSubDomains;{% endif %} preload" always;
      add_header Referrer-Policy strict-origin-when-cross-origin;
      add_header X-Content-Type-Options nosniff;
      add_header X-XSS-Protection "1; mode=block";
      add_header X-Frame-Options SAMEORIGIN;
      add_header Content-Security-Policy upgrade-insecure-requests;
      add_header Permissions-Policy interest-cohort=();
      add_header Expect-CT 'enforce; max-age=604800';
      more_set_headers 'Server: Proxy';
      more_clear_headers 'X-Powered-By';
      proxy_cookie_flags ~ Secure HttpOnly SameSite=Strict;
    {% endif %}
  {% endif %}
{% endif %}

Vous pouvez personnaliser la réponse du serveur via la ligne “more_set_headers ‘Server: Proxy’;” et remplacer “Proxy” par ce que vous souhaitez. Cette ligne permet de rendre la détection de la technonologie utilisée (NPM) plus difficile.

Une fois ce fichier créé, vous pouvez relancer votre container NPM.

Verification du template

Vous pouvez maintenant refaire un test en ligne sur le site https://securityheaders.com/ :

Vous obtenez maintenant la note maximale “A+”.

Remarque : Pour chaque hôte proxy il faut décocher puis recocher l’option HSTS :

Installation de Nginx Proxy Manager

Thu, 23 Jul 2026 00:00:00 +0000

Introduction

NPM (Nginx Proxy Manager) est une image Docker contenant le proxy inverse ‘Nginx’ et une interface WebUI permettant une configuration simple et convivial du serveur proxy. Il permet entre autres de gérer simplement les cerificats SSL via Let’s Encrypt.

Pour cette installation j’utilise l’image officielle qui est présente ici : NginxProxyManager

Le fichier compose.yaml

Voici le fichier compose.yaml à deposer dans le répertoire contenant vos piles (par exemple /opt/docker/projects/) ou à coller dans votre interface de gestion (Arcane, Dockge, Portainer…).


services:
  app:
    image: 'docker.io/jc21/nginx-proxy-manager:latest'
    restart: unless-stopped
    container_name: npm
    environment:
      - TZ=Europe/Paris    
    ports:
      - 80:80   # Vous pouvez spécifier l'IP de l'Hote ; Par défaut 0.0.0.0
      - 81:81   # Port pour l'interface WebUI
      - 443:443
    volumes:
      - /opt/docker/data/npm:/data
      - /opt/docker/data/log:/data/logs   # Pour analyser les logs en dehors du container
      - /opt/docker/data/npm/letsencrypt:/etc/letsencrypt

Vous devrez adapter ce fichier à votre environnement de travail Docker. J’utilise le chemin /opt/docker/data/mon_container pour tous mes containers docker.

Le volume ‘/opt/docker/data/log’ me permet de visualiser et d’externalyser les logs produits par NPM pour qu’ils puissent être analysés par des outils tiers (fail2ban, reaction… etc).

Remarque : Vous pouvez rajouter l’adresse IP de votre hôte au niveau des ports pour restreindre l’accès à votre seul hôte (exemple : 192.168.x.x:80:80).

Une fois le fichier créer ; déployer l’image soit en ligne de commande : sudo docker compose up -d ; soit via votre interface de gestion.

Vous pouvez maintenant accèder à l’interface de NPM : http://votreip:81

Configuration

1er Lancement

Il faut dans un premier temps créer un compte Administrateur :

Une fois le compte créé, vous arrivez au niveau du tableau de Bord :

Création d’un certificat

NPM gère la création de certificat via Let’s Encrypt. Nous utiliserons comme exemple la méthode via DNS avec l’hébergeur OVH.

Une fois le choix sélectioné, nous arrivons sur l’écran de création du certificat pour votre domaine.

Je choisi mon hébergeur (Provider DNS) et je choisi mon domaine.

Remarque : J’utilise ici un wildcard ‘*’ pour générer un certificat pour tous les sous/sous domaines de mon domaine ‘subdomain.domain.fr’. Le wildcard permet de cacher les services derriere le Proxy et seul les personnes connaissants le lien complet (service.subdomain.domain.fr par exemple) pourront traverser le proxy.

Chaque hébergeur à sa propre procédure de création de certificat et les informations demandées sur l’écran précédant seront différents.

Pour OVH, il faut vous connecter et aller à cette adresse : OVH Creation Token

Vous devez remplir le formulaire tel quel :

Il faut utilisez pour chaque ligne le texte suivant : /domain/zone/*

Vous aurez en retour les 3 Tokens nécessaires à remplacer dans l’écran plus haut au niveau de la zone ‘Credentials File Content:

Application Key
Application Secret
Consumer Key

Une fois cela fait, vous pourrez voir vos certificats au niveau du tableau de bord :

Création d’un hôte proxy

Le hôte proxy permet d’exposer de facon sécurisé votre service interne avec le monde extérieur. Il fait le lien entre une URL externe publique et votre service privé situé derriere votre serveur proxy.

Nous allons créér un hôte proxy en prenant comme exmple le nom de domaine “exemple.subdomain.domain.fr” :

Il vous faudra compléter la zone ‘Forward’ de votre formulaire en ajoutant l’adresse IP de votres service interne, ainsi que son port.

Cocher aussi l’option “Block Common Exploits”

On passe maintenant à l’onglet ‘SSL’ :

Sélectionner le certificat associé à votre domaine et cocher les 4 options.

Une fois la validation du formulaire effectué ; votre service exposé apparaitra dans la liste des Hôtes proxy :

Pour aller plus loin

Nous avons vus l’installation et la configuration de bases de NPM. Pour plus de sécurité et de personnalisations, il est nécessaire parfois de passer par l’édition manuelle des fichiers de configurations quand cela n’est pas possible par l’interface graphique (la personnalisation reste possible, mais est fortement limitée).

Nous verrons cela dans d’autres articles à paraitre sur le blog.