一台 VPS 变成独立开发乐园：多用户隔离环境完整指南

结论先行：在一台 VPS 上用 Docker 给每个用户跑一个独立容器，配上 CPU/内存配额、独立网络、数据卷挂载，就能把一台 4 核 8G 机器切成 4 到 6 个互不干扰的开发环境。比多买几台 VPS 便宜，比开虚拟机轻，比上 K8s 简单，是给团队、客户、合租朋友分机器的最佳平衡点。

你的 VPS 只跑一个项目？太亏了。这篇文章教你把一台机器变成多个独立开发环境，每个人有自己的空间，互不干扰。

0、写在前面

你有一台不错的 VPS，比如 4 核 8G 的配置，但只有你一个人在用。

然后你遇到了这些场景：

团队协作：想给团队成员每人分配一个开发环境
客户演示：给客户一个独立的测试环境，别让他们看到其他项目
朋友共享：和朋友合租服务器，但不想互相影响
项目隔离：一个机器跑多个项目，环境别打架

怎么办？多买几台 VPS？太贵了。

简单说：大家在一台机器上干活，环境打架、资源抢夺、端口撞车，像在一个厨房里做饭，锅不够用，灶台不够分。

其实，通过 Docker 容器隔离，你可以在一台 VPS 上创建多个独立的开发环境，每个环境有自己的：

独立的文件系统
独立的进程空间
独立的网络配置
有限的资源配额

这篇文章带你一步步实现这个目标。

1、期望目标

搞定这些：

✅ 多用户隔离：每个用户有独立的容器环境，互不影响
✅ 资源配额：限制 CPU、内存，防止单个用户占用全部资源
✅ 网络隔离：用户容器有独立网络，可以映射不同端口
✅ 持久化存储：数据卷绑定，重启不丢数据
✅ 权限管理：普通用户也能管理自己的容器

做完这些，你的 VPS 就能服务多个用户了，每个人像有自己专属的机器一样。

2、计划思考

为什么需要多用户隔离？

一台 VPS 直接多用户登录的问题：

问题	后果	Docker 解决方案
环境冲突	Node.js 版本不一样，有人装了 Python 有人没装	每个容器独立环境
资源抢占	一个人跑编译，把 CPU 吃满，别人卡死	CPU/内存配额限制
端口冲突	两个人都要用 3000 端口	独立网络，端口映射
权限混乱	大家都 sudo，误操作改了系统配置	容器内随意折腾，不影响宿主机
数据安全	A 用户能看 B 用户的代码	独立文件系统，互相不可见

方案对比

为什么选 Docker？

一台机器能跑几十个容器：4核8G的VPS足够4-6个人用
秒级启动：用户要用的环境，几秒钟就跑起来了
工具链完善：Docker已经很成熟，遇到问题随便一搜就有答案
环境一致性：开发和生产用同一个镜像，不会有「我本地能跑」这种鬼事

虚拟机隔离更彻底，但太重了；K8s 功能强大，但小团队用不上。Docker 刚好平衡了隔离性和复杂度，适合开发环境。

整体架构

每个用户容器完全独立，通过端口映射对外提供服务。

3、操作步骤

3.1 前置准备

假设你已经完成了 VPS 安全初始化（创建普通用户、SSH 密钥、防火墙等）。

现在登录到你的服务器（建议用普通用户，需要 sudo 权限）：

1	ssh youruser@你的服务器IP -p 你的SSH端口

3.2 安装 Docker

添加 Docker 官方 GPG 密钥

# 更新包索引
sudo apt update

# 安装必要的依赖
sudo apt install -y ca-certificates curl gnupg lsb-release

# 添加 Docker 官方 GPG 密钥
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

设置 Docker 仓库

# 设置 Docker APT 仓库
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

💡 解释

dpkg --print-architecture：自动获取系统架构（amd64/arm64）

lsb_release -cs：自动获取 Ubuntu 版本代号（jammy/focal 等）

安装 Docker Engine

# 再次更新包索引（刚添加了 Docker 仓库）
sudo apt update

# 安装 Docker Engine、Docker Compose 插件和容器运行时
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin

验证安装

# 检查 Docker 版本
docker --version
# 输出：Docker version 29.x.x, build xxxxx

# 运行测试容器
docker run hello-world

如果看到「Hello from Docker!」的输出，说明安装成功！

⚠️ 权限提示

普通用户运行 docker 命令可能会报权限错误。先把用户加到 docker 组：
1
2
3
4
5
6
7
sudo usermod -aG docker $USER

# 重新登录后生效（或者执行 newgrp docker）
newgrp docker

# 验证
docker ps

3.3 创建第一个用户容器

我们以「用户 alice」为例，给她一个 Node.js 开发环境。

创建用户（如果还没创建）

# 创建用户 alice
sudo adduser alice
sudo usermod -aG docker alice

# 创建用户 bob（后续用到）
sudo adduser bob
sudo usermod -aG docker bob

创建用户数据目录

1
2
3

# 为 alice 创建数据目录
sudo mkdir -p /srv/alice/{data,projects}
sudo chown -R alice:alice /srv/alice

/srv/alice/data：持久化数据（数据库、配置等）
/srv/alice/projects：alice 的项目代码

创建 Docker Compose 配置

在 alice 的主目录创建 docker-compose.yml：

# 创建项目目录（用 sudo -u 避免切换用户问题）
sudo -u alice -H bash -c 'mkdir -p ~/docker-dev'
cd /home/alice/docker-dev

# 创建 docker-compose.yml
cat > docker-compose.yml << 'EOF'
services:
  dev:
    image: node:22-bookworm
    container_name: alice-dev
    restart: unless-stopped
    
    # 资源限制
    deploy:
      resources:
        limits:
          cpus: '1.0'
          memory: 1G
        reservations:
          cpus: '0.5'
          memory: 512M
    
    # 工作目录
    working_dir: /workspace
    
    # 挂载卷
    volumes:
      - /srv/alice/projects:/workspace
      - /srv/alice/data:/data
    
    # 端口映射
    ports:
      - "8001:3000"
      - "8002:8080"
    
    # 环境变量
    environment:
      - NODE_ENV=development
      - USER=alice
    
    # 保持容器运行
    command: tail -f /dev/null
    
    # 网络
    networks:
      - alice-net

networks:
  alice-net:
    driver: bridge
EOF

配置解释：

参数	说明
`image: node:22-bookworm`	使用官方 Node.js 22 镜像（Debian Bookworm 基础，当前 LTS）
`cpus: '1.0'`	最多使用 1 个 CPU 核心
`memory: 1G`	最多使用 1GB 内存
`/srv/alice/projects:/workspace`	项目目录映射到容器内 `/workspace`
`8001:3000`	宿主机 8001 端口映射到容器内 3000
`command: tail -f /dev/null`	保持容器运行，不用时不会退出
`networks: [alice-net]`	独立的 Docker 网络

启动容器

# 启动容器（后台运行）
docker compose up -d

# 查看容器状态
docker ps

# 查看容器日志
docker logs alice-dev

进入容器测试

# 进入容器
docker exec -it alice-dev bash

# 在容器内测试
node --version
npm --version
echo $USER
exit

你应该能看到 Node.js 版本和 alice 用户环境。

3.4 配置资源监控

给你装个工具，能看每个容器用了多少资源：

# 安装 lazydocker（TUI Docker 管理工具）
curl https://raw.githubusercontent.com/jesseduffield/lazydocker/master/scripts/install_update_linux.sh | sudo bash

# 或直接用 docker stats
docker stats

docker stats 会实时显示：

1 2	CONTAINER NAME CPU % MEM USAGE / LIMIT MEM % NET I/O BLOCK I/O PIDS abc123 alice-dev 0.50% 128MiB / 1GiB 12.8% 1.2kB / 0B 0B / 0B 5

3.5 创建更多用户容器

现在给「用户 bob」创建一个 Python 开发环境。

# 创建 bob 的数据目录
sudo mkdir -p /srv/bob/{data,projects}
sudo chown -R bob:bob /srv/bob

# 切换到 bob
su - bob
mkdir -p ~/docker-dev
cd ~/docker-dev

# 创建 Python 开发环境配置
cat > docker-compose.yml << 'EOF'
services:
  dev:
    image: python:3.12-slim
    container_name: bob-dev
    restart: unless-stopped
    
    deploy:
      resources:
        limits:
          cpus: '2.0'
          memory: 2G
        reservations:
          cpus: '1.0'
          memory: 1G
    
    working_dir: /workspace
    
    volumes:
      - /srv/bob/projects:/workspace
      - /srv/bob/data:/data
    
    ports:
      - "8003:8000"
      - "8004:8888"
    
    environment:
      - PYTHONUNBUFFERED=1
      - USER=bob
    
    command: tail -f /dev/null
    
    networks:
      - bob-net

networks:
  bob-net:
    driver: bridge
EOF

# 启动
docker compose up -d

关键区别：

bob 分了 2 核 CPU / 2G 内存（更高配置）
用 Python 3.12 镜像
端口 8003、8004（和 alice 不冲突）

3.6 网络隔离验证

现在 alice 和 bob 的容器在各自的独立网络中，互不访问。

测试网络隔离：

# 进入 alice 的容器
docker exec -it alice-dev bash

# 尝试访问 bob 的容器（slim 镜像没有 ping 命令）
curl -s http://bob-dev:8000 || echo "网络隔离生效"

exit

# 进入 bob 的容器
docker exec -it bob-dev bash

# 尝试访问 alice 的容器
curl -s http://alice-dev:3000 || echo "网络隔离生效"

exit

这正是我们要的隔离效果。

3.7 配置反向代理（可选）

如果每个用户都有自己的域名，可以用 Nginx 反向代理：

# 安装 Nginx
sudo apt install -y nginx

# 创建站点配置
sudo tee /etc/nginx/sites-available/multi-user << 'EOF'
# Alice 的站点
server {
    listen 80;
    server_name alice.yourdomain.com;

    location / {
        proxy_pass http://localhost:8001;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

# Bob 的站点
server {
    listen 80;
    server_name bob.yourdomain.com;

    location / {
        proxy_pass http://localhost:8003;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}
EOF

# 启用站点
sudo ln -s /etc/nginx/sites-available/multi-user /etc/nginx/sites-enabled/

# 测试配置
sudo nginx -t

# 重载 Nginx
sudo systemctl reload nginx

现在：

alice.yourdomain.com → alice 的容器（8001 端口）
bob.yourdomain.com → bob 的容器（8003 端口）

3.8 配置防火墙规则

记得开放你映射的端口：

# 开放用户容器端口
sudo ufw allow 8001/tcp
sudo ufw allow 8002/tcp
sudo ufw allow 8003/tcp
sudo ufw allow 8004/tcp

# 查看状态
sudo ufw status verbose

3.9 配置自动启动

Docker 容器设置了 restart: unless-stopped，服务器重启后会自动启动。

验证一下：

# 查看重启策略
docker inspect alice-dev | grep -A 5 RestartPolicy

# 手动测试重启
sudo reboot

重启后重新登录，检查容器是否自动运行：

1 2	docker ps # 应该能看到 alice-dev 和 bob-dev 都在运行

3.10 用户的日常操作

给每个用户一个简单的使用说明：

Alice 的日常命令：

# 查看容器状态
docker ps

# 进入开发环境
docker exec -it alice-dev bash

# 在容器内启动项目
cd /workspace/myproject
npm install
npm run dev

# 退出容器
exit

# 查看日志
docker logs alice-dev

# 重启容器
docker restart alice-dev

Bob 的日常命令：

# 进入开发环境
docker exec -it bob-dev bash

# 在容器内启动项目
cd /workspace/myproject
pip install -r requirements.txt
python app.py

exit

4、总结

配置检查清单

检查项	命令	预期结果
Docker 已安装	`docker --version`	显示版本号
用户在 docker 组	`groups $USER`	包含 `docker`
alice 容器运行	`docker ps --filter "name=alice-dev"`	显示运行中
bob 容器运行	`docker ps --filter "name=bob-dev"`	显示运行中
资源限制生效	`docker stats --no-stream`	CPU/内存在配额内
网络隔离	`docker exec alice-dev ping -c 1 bob-dev`	ping 不通
端口映射	`curl -I localhost:8001`	能访问（如果容器内有服务）
防火墙规则	`sudo ufw status`	显示允许

关键文件位置

~/docker-dev/docker-compose.yml         # 用户的容器配置
/srv/alice/projects                      # alice 的项目目录
/srv/alice/data                         # alice 的数据目录
/etc/nginx/sites-available/multi-user   # Nginx 反向代理配置

资源配额参考

💡 还没买 VPS？

根据你要服务的用户数选择配置：

2-3 人：4 核 8G VPS

4-6 人：8 核 16G VPS

根据 VPS 配置分配资源：

VPS 配置	建议用户数	每用户配额
2 核 4G	2-3 人	1 核 / 1G
4 核 8G	4-6 人	1 核 / 1-2G
8 核 16G	8-10 人	1-2 核 / 1-2G

💡 实际分配要根据用户的工作负载调整。编译型任务需要更多 CPU，Web 服务需要更多内存。

最佳实践

定期备份数据卷：/srv/alice/data 和 /srv/bob/data 要定期备份
监控资源使用：docker stats 或安装 lazydocker
定期清理：docker system prune -f 清理未使用的镜像和容器
安全更新：定期更新基础镜像 docker compose pull
日志轮转：容器日志会无限增长，配置 logrotate

下一步优化

SSL 证书：用 Certbot 给每个域名配置 HTTPS
CI/CD 集成：用 GitHub Actions 自动部署到容器
监控告警：用 Prometheus + Grafana 监控容器资源
自动化脚本：一键创建新用户容器的脚本

5、异常记录

Q1：普通用户运行 docker 报权限错误？

现象：

1 2	docker ps # Got permission denied while trying to connect to the Docker daemon socket

解决：

# 把用户加入 docker 组
sudo usermod -aG docker $USER

# 重新登录或执行
newgrp docker

# 验证
docker ps

Q2：容器占用资源超过配额怎么办？

现象：

docker stats 显示 CPU 或内存超过限制。

可能原因：

限制没生效：你用的可能是老的 docker-compose（Python 写的 v1），它会忽略 deploy.resources；现在的 docker compose（Go 写的 v2）在非 swarm 模式下直接支持 cpus/memory 限制

解决：

# 先确认用的是 v2（命令是 docker compose，没有连字符）
docker compose version

# 检查 Docker 版本
docker --version
# 现代 docker compose v2 默认支持 deploy.resources.limits，无需 swarm

# 升级 Docker
sudo apt update && sudo apt upgrade docker-ce

# 或用旧版参数（runtime）
# 在 docker-compose.yml 中改用：
# runtime: cpu
# cpus: '1.0'
# mem_limit: 1g

Q3：容器启动失败，端口冲突？

现象：

1 2	docker compose up -d # Error starting userland proxy: listen tcp 0.0.0.0:8001: bind: address already in use

解决：

# 查看端口被谁占用
sudo lsof -i :8001

# 或
sudo netstat -tulpn | grep 8001

# 修改 docker-compose.yml 中的端口映射
# 改成其他端口，如 8011:3000

Q4：容器内访问不了外网？

现象：

容器内 ping -c 3 8.8.8.8 不通。

可能原因：

DNS 配置问题

解决：

# 在宿主机查看 Docker DNS 配置
docker info | grep DNS

# 在 docker-compose.yml 中添加 DNS：
dns:
  - 8.8.8.8
  - 8.8.4.4

# 或修改 /etc/docker/daemon.json
sudo tee /etc/docker/daemon.json << EOF
{
  "dns": ["8.8.8.8", "8.8.4.4"]
}
EOF

# 重启 Docker
sudo systemctl restart docker

Q5：数据卷权限问题？

现象：

容器内无法写入 /workspace 目录。

解决：

# 确保宿主机目录属于用户
sudo chown -R alice:alice /srv/alice/projects

# 或在容器启动时指定用户（在 docker-compose.yml 中）：
user: "${UID}:${GID}"

# 启动时传入环境变量
UID=$(id -u) GID=$(id -g) docker compose up -d

Q6：容器启动后立即退出？

现象：

docker ps
# 看不到容器
docker ps -a
# 容器状态是 Exited

可能原因：

容器内没有前台进程，主进程退出了

解决：

# 在 docker-compose.yml 中添加：
command: tail -f /dev/null

# 或者使用：
tty: true
stdin_open: true

Q7：如何给用户更多权限但不给 sudo？

场景： 用户需要管理自己的容器，但不能管理其他用户的。

方案 A：Docker Socket 权限控制（复杂）

方案 B：用 Docker Context（推荐）

# 给每个用户创建独立的 Docker context
docker context create alice-context --docker "host=tcp://localhost:2375"

# 用户 alilce 使用自己的 context
docker context use alice-context
docker context ls

这个方案比较复杂，小团队建议直接信任团队成员，把大家都加到 docker 组。如果需要严格权限隔离，建议用 Kubernetes。

Q8：容器时间不对？

现象：

容器内 date 显示的时间和宿主机不一致。

解决：

# 在 docker-compose.yml 中添加：
volumes:
  - /etc/localtime:/etc/localtime:ro
  - /etc/timezone:/etc/timezone:ro

# 或设置环境变量：
environment:
  - TZ=Asia/Shanghai

6、一键创建用户脚本

给管理员的自动化脚本，快速创建新用户环境：

#!/bin/bash
# create-dev-user.sh
# 用法：sudo ./create-dev-user.sh username [port_base] [cpu_limit] [mem_limit]

set -e

USER_NAME=${1:-"newuser"}
PORT_BASE=${2:-"8100"}
CPU_LIMIT=${3:-"1.0"}
MEM_LIMIT=${4:-"1G"}

echo "=== 创建开发用户 $USER_NAME ==="

# 1. 创建系统用户
echo "[1/5] 创建系统用户..."
id -u $USER_NAME &>/dev/null || useradd -m -s /bin/bash $USER_NAME
usermod -aG docker $USER_NAME

# 2. 创建数据目录
echo "[2/5] 创建数据目录..."
mkdir -p /srv/$USER_NAME/{data,projects}
chown -R $USER_NAME:$USER_NAME /srv/$USER_NAME

# 3. 创建 Docker Compose 配置
echo "[3/5] 创建容器配置..."
mkdir -p /home/$USER_NAME/docker-dev
cat > /home/$USER_NAME/docker-dev/docker-compose.yml << DOCKER_COMPOSE_EOF
services:
  dev:
    image: node:22-bookworm
    container_name: $USER_NAME-dev
    restart: unless-stopped

    deploy:
      resources:
        limits:
          cpus: '$CPU_LIMIT'
          memory: $MEM_LIMIT

    working_dir: /workspace

    volumes:
      - /srv/$USER_NAME/projects:/workspace
      - /srv/$USER_NAME/data:/data
      - /etc/localtime:/etc/localtime:ro

    ports:
      - "$PORT_BASE:3000"
      - "$((PORT_BASE+1)):8080"

    environment:
      - NODE_ENV=development
      - TZ=Asia/Shanghai

    command: tail -f /dev/null

    networks:
      - $USER_NAME-net

networks:
  $USER_NAME-net:
    driver: bridge
DOCKER_COMPOSE_EOF

chown -R $USER_NAME:$USER_NAME /home/$USER_NAME/docker-dev
cd /home/$USER_NAME/docker-dev
sudo -u $USER_NAME docker compose up -d

# 4. 配置防火墙
echo "[4/5] 配置防火墙..."
ufw allow $PORT_BASE/tcp
ufw allow $((PORT_BASE+1))/tcp

# 5. 配置 Nginx（可选）
read -p "是否配置 Nginx 反向代理？(y/N) " -n 1 -r
echo
if [[ $REPLY =~ ^[Yy]$ ]]; then
    cat > /etc/nginx/sites-available/$USER_NAME << EOF
server {
    listen 80;
    server_name $USER_NAME.yourdomain.com;

    location / {
        proxy_pass http://localhost:$PORT_BASE;
        proxy_set_header Host \$host;
        proxy_set_header X-Real-IP \$remote_addr;
        proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto \$scheme;
    }
}
EOF
    ln -sf /etc/nginx/sites-available/$USER_NAME /etc/nginx/sites-enabled/
    nginx -t && systemctl reload nginx
fi

echo ""
echo "=========================================="
echo "  ✅ 用户 $USER_NAME 创建完成！"
echo "=========================================="
echo ""
echo "  容器名: $USER_NAME-dev"
echo "  端口映射: $PORT_BASE:3000, $((PORT_BASE+1)):8080"
echo "  资源限制: $CPU_LIMIT CPU / $MEM_LIMIT 内存"
echo "  数据目录: /srv/$USER_NAME"
echo ""
echo "  用户登录命令："
echo "    su - $USER_NAME"
echo "    docker exec -it $USER_NAME-dev bash"
echo ""

使用示例：

# 创建用户 charlie，端口 8200，2 核 2G
sudo ./create-dev-user.sh charlie 8200 2.0 2G

# 创建用户 diana，使用默认配置（1 核 1G）
sudo ./create-dev-user.sh diana

7、下一步

现在你已经有了多用户隔离环境，接下来可以：

配置域名和 SSL：用 Let’s Encrypt 给每个用户配 HTTPS
CI/CD 集成：GitHub Actions 自动部署到用户容器
监控和告警：用 Prometheus 监控容器资源使用
备份策略：定期备份 /srv 目录

这些话题我们会在后续文章展开。

8、FAQ（独立开发者最常问的 5 个问题）

Q1：为什么不直接给每个人建一个 Linux 用户，非要用 Docker？

直接建系统用户，所有人共享同一个内核和文件系统。Node 版本冲突、3000 端口撞车、有人手抖 rm -rf 改了系统配置、A 能翻到 B 的代码，这些在裸机上没有干净的解法。Docker 给每个人独立文件系统、进程空间、网络和 CPU/内存配额，这些麻烦一次性消失。

Q2：一台 4 核 8G 的 VPS 实际能带几个开发环境？

4 到 6 个，每个配 1 核 1 到 2G 内存（见第 4 节资源配额表）。如果有人要跑重度编译（C++/Rust/大前端 build），给他配到 1.5 到 2 核，总人数收到 3 到 4 个更稳。

Q3：deploy.resources.limits 不是只有 swarm 模式才生效吗，我这台普通 docker compose 真的限得住？

限得住。现在的 docker compose（Go 版 v2）在非 swarm 模式下直接支持 cpus 和 memory 限制，docker stats 能看到上限。只有老的 docker-compose（Python 版 v1）才会忽略 deploy 字段，那种情况把 cpus/mem_limit 写成顶层字段就行。本文的配置文件没有 version 字段，是现代 Compose spec 写法，限制默认生效。

Q4：把用户加进 docker 组，是不是等于给了他宿主机 root？

是的。docker 组成员可以挂载宿主机任意目录、读写任意文件，等价于 root。信任的队友可以加，不信任的（客户、合租陌生人）别加，改用 rootless Docker，或只让他通过 SSH 进自己的容器。

Q5：和 GitHub Codespaces、Gitpod 这类云端开发环境比，自己搭这套图什么？

数据和代码全在你自己机器上，月费固定（一台 VPS 几美元养一队人），不按计算分钟和存储量计费，断网也能干活。代价是安全更新、备份、监控全得你自己管。看重数据自主和成本可控选自建，看重开箱即用和零运维选云方案。

下一篇预告

下一篇我们来讲 Docker 容器备份与恢复策略，包括：

数据卷自动备份
容器镜像打包迁移
灾难恢复实战
定时备份脚本

💡 透明声明：本文包含 8 处推广链接（5 个独立服务，如 Vultr / Cloudflare / Tailscale 等）。每次点击我会收到一笔佣金，不影响你的购买价格，也不影响我的内容判断，工具好不好用我自己用了才知道。完整推广政策见 ittinker.com/about。

❓ FAQ（运维/自动化最常问）

Q：crontab 时间字段怎么写？* * * * * 五个位置都是什么？
从左到右：分时日月周。例：30 2 * * * = 每天 2:30。坑：周字段 0 和 7 都表周日；日和周同时限定是 OR 不是 AND（容易踩）。调试：写完用 crontab -l 检查 + 看 /var/log/syslog。

Q：服务器磁盘占满，第一步查什么？
du -sh /* 2>/dev/null | sort -rh | head -n 10，找最大的目录。再 journalctl --disk-usage 看日志、docker system df 看镜像。Docker 是大头：docker system prune -a 清理无用镜像/容器/卷。

Q：服务器突然很卡，怎么 5 分钟定位？
黄金顺序：① htop（CPU/内存占用） ② iostat -xz 1 5（磁盘 IO） ③ ss -s（连接数） ④ dmesg -T | grep -i error（内核报错） ⑤ journalctl -xeu service_name（服务日志）。前两步能解 70% 问题。

Q：服务器日志怎么管理？直接删还是 rotate？
永远用 logrotate（系统自带，默认 daily rotate 14 天），不要 rm 直接删（服务在写会断句）。Docker 日志：logging: driver: "json-file"，配 max-size: "10m" + max-file: "3"。

Q：一台 VPS 跑多项目怎么避免端口冲突？
规划端口段：80/443 给主站；8000-8999 给开发服务；9000-9999 给监控/工具。记到 PORTS.md-like 文件：每个端口记谁在用。工具：用 Portainer / Dockge 看端口映射。

数据与引用

Docker Compose v2 自 2022 年起取代了 Python 版的 docker-compose v1，deploy.resources.limits 在非 swarm 模式下直接生效，通过 cgroup 直接限制 CPU/内存，不需要走 swarm 编排层。
来源：Docker Compose Specification 官方文档
含义：本文的 docker-compose.yml 没写 version 字段、没启用 swarm，用 Go 版 docker compose 直接支持 cpus/memory 上限；老的 docker-compose v1 才会忽略 deploy 字段。
Docker Hub 官方镜像如 node:22-bookworm、python:3.12-slim 均带 Debian Bookworm 基础，目前是 LTS 主流选择；bookworm 较旧的 bullseye 多拿到约 2 年安全更新窗口。
来源：Docker Hub - Official Node.js Images
含义：写 Dockerfile/Compose 时挑 bookworm/slim 而非 bullseye，新部署默认走更新更久的镜像。
Linux 内核 cgroup v2 自 2022 年起成为多数发行版的默认（Ubuntu 22.04+、Debian 12+、RHEL 9+），容器资源隔离比 cgroup v1 更严格，单容器内存超限会触发 OOM kill 而不是拖垮宿主机。
来源：Red Hat - Introduction to control groups
含义：本文 deploy.resources.limits 真的能"硬限"住用户的进程，靠的就是 cgroup v2；老内核上跑同样配置，限制是软性的，可能被绕过。
VPS 市场预计 2026 年规模达 $6.43B，2035 年涨至 $25.22B，年复合 16.40%，"几个人共用一台 VPS"这种部署模式正因性价比优势被越来越多独立开发者采用。
来源：MarketResearchFuture - Virtual Private Server Market 2026-2035
含义：把单台 VPS 切成多个用户环境，是行业趋势的反面证据，大家都从共享主机/单租户服务器往"可控的隔离环境"走，证明这套方案有市场。
2025 年公有云工作负载中 90% 跑在 Linux 上，Fortune 500 关键系统 Linux 采用率 72.6%，多用户隔离环境这套玩法（systemd + cgroup + 用户权限分离）是云端 Linux 标准范式。
来源：CommandLinux - Linux Adoption in Fortune 500
含义：本文介绍的"系统用户 + docker 组 + cgroup 配额"组合不是野路子，是云厂商多年生产验证的标准做法。
Hetzner Cloud 2026 年 6 月 15 日对 CPX/CCX 系列涨 144-176%，CX23 从 €3.99 涨到 €5.49/月（+37.6%），新订单/rescale 才生效，老客户合同价不变。
来源：Northflank - Hetzner cloud server price increases in 2026
含义：选 Hetzner 跑多用户环境时，按新价算每月预算；如果已有老 CX 实例，享受原合同价，迁移前算清楚差价。

0、写在前面

1、期望目标

2、计划思考

为什么需要多用户隔离？

方案对比

整体架构

3、操作步骤

3.1 前置准备

3.2 安装 Docker

添加 Docker 官方 GPG 密钥

设置 Docker 仓库

安装 Docker Engine

验证安装

3.3 创建第一个用户容器

创建用户（如果还没创建）

创建用户数据目录

创建 Docker Compose 配置

启动容器

进入容器测试

3.4 配置资源监控

3.5 创建更多用户容器

3.6 网络隔离验证

3.7 配置反向代理（可选）

3.8 配置防火墙规则

3.9 配置自动启动

3.10 用户的日常操作

4、总结

配置检查清单

关键文件位置

资源配额参考

最佳实践

下一步优化

5、异常记录

Q1：普通用户运行 docker 报权限错误？

Q2：容器占用资源超过配额怎么办？

Q3：容器启动失败，端口冲突？

Q4：容器内访问不了外网？

Q5：数据卷权限问题？

Q6：容器启动后立即退出？

Q7：如何给用户更多权限但不给 sudo？

Q8：容器时间不对？

6、一键创建用户脚本

7、下一步

8、FAQ（独立开发者最常问的 5 个问题）

下一篇预告

推荐工具与服务

❓ FAQ（运维/自动化最常问）

数据与引用

📬 订阅 ITTinker 技术周刊