유휴 노트북으로 시작하는 홈 서버 구축 아키텍처 — Ubuntu Server 기반 24/7 운영 완전 가이드

# ── 1. 덮개 닫기 시 절전 모드 완전 차단 ──────────────────────────────────
sudo sed -i 's/#HandleLidSwitch=suspend/HandleLidSwitch=ignore/' \
  /etc/systemd/logind.conf
sudo sed -i 's/#HandleLidSwitchDocked=ignore/HandleLidSwitchDocked=ignore/' \
  /etc/systemd/logind.conf
sudo systemctl restart systemd-logind

# 결과 확인
loginctl show-session $(loginctl | awk 'NR==2{print $1}') | grep Lid

# ── 2. 시스템 전체 업데이트 및 필수 패키지 설치 ──────────────────────────
sudo apt update && sudo apt full-upgrade -y
sudo apt install -y \
  curl wget git htop iotop nethogs \
  ufw fail2ban unattended-upgrades \
  logwatch mailutils \
  apt-listchanges bsd-mailx

# 자동 업데이트 활성화 (대화형 설정)
sudo dpkg-reconfigure -plow unattended-upgrades

# /etc/apt/apt.conf.d/50unattended-upgrades 핵심 설정값 확인 및 수정
sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

// /etc/apt/apt.conf.d/50unattended-upgrades

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
    "${distro_id}ESMApps:${distro_codename}-apps-security";
    "${distro_id}ESM:${distro_codename}-infra-security";
};

// 커널 업그레이드 포함 (재부팅 필요)
Unattended-Upgrade::Package-Blacklist {
    // 특정 패키지 자동 업데이트 제외 예시
    // "linux-image-*";
    // "postgresql-*";
};

// 패치 후 필요 시 자동 재부팅 (심야 02:00)
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "02:00";

// 이메일 알림 (sendmail/postfix 필요)
Unattended-Upgrade::Mail "admin@yourdomain.com";
Unattended-Upgrade::MailReport "on-change";

// 오래된 의존성 자동 제거
Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

// 로그 상세도 증가
Unattended-Upgrade::Verbose "false";
Unattended-Upgrade::Debug "false";

# /etc/apt/apt.conf.d/20auto-upgrades — 주기 설정
sudo tee /etc/apt/apt.conf.d/20auto-upgrades > /dev/null << 'EOF'
APT::Periodic::Update-Package-Lists "1";        // 매일 패키지 목록 갱신
APT::Periodic::Download-Upgradeable-Packages "1"; // 매일 패키지 다운로드
APT::Periodic::AutocleanInterval "7";           // 7일마다 캐시 정리
APT::Periodic::Unattended-Upgrade "1";          // 매일 자동 업그레이드 실행
EOF

# 즉시 테스트 실행 (dry-run)
sudo unattended-upgrade --dry-run --debug

# 실제 적용 로그 확인
sudo cat /var/log/unattended-upgrades/unattended-upgrades.log

# ── [로컬 머신] Ed25519 키 쌍 생성 ─────────────────────────────────────────
# -C 코멘트에 날짜와 용도를 기록해두면 나중에 관리가 용이함
ssh-keygen -t ed25519 -C "homeserver-$(date +%Y%m%d)" -f ~/.ssh/homeserver_ed25519

# [로컬 머신] 공개키를 서버에 복사
ssh-copy-id -i ~/.ssh/homeserver_ed25519.pub -p 22 user@192.168.1.xxx

# [로컬 머신] ~/.ssh/config에 별칭 추가
cat >> ~/.ssh/config << 'EOF'
Host homeserver
    HostName 192.168.1.xxx
    User user
    Port 2222
    IdentityFile ~/.ssh/homeserver_ed25519
    ServerAliveInterval 60
    ServerAliveCountMax 3
EOF

# 이제 ssh homeserver 만으로 접속 가능

# ── [서버] /etc/ssh/sshd_config 강화 설정 ──────────────────────────────────
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak  # 백업 필수

sudo tee /etc/ssh/sshd_config.d/99-hardening.conf > /dev/null << 'EOF'
# 비표준 포트로 변경 (자동화 스캐너 차단 효과)
Port 2222

# 인증 제한
PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PermitEmptyPasswords no

# 연결 제한
MaxAuthTries 3
MaxSessions 5
LoginGraceTime 30

# 프로토콜 보안
Protocol 2
X11Forwarding no
AllowAgentForwarding no
AllowTcpForwarding no   # 포트 포워딩 비허용 (Tailscale 사용 시)

# 알고리즘 명시 (약한 알고리즘 차단)
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com

# 로그 상세도 높임
LogLevel VERBOSE
EOF

# 설정 문법 검사 (반드시 확인 후 재시작)
sudo sshd -t && echo "설정 OK" || echo "설정 오류 있음"

# SSH 데몬 재시작 (기존 연결 유지)
sudo systemctl reload ssh

# 새 포트로 연결 확인 후 기존 세션 유지
ssh -p 2222 user@192.168.1.xxx "echo 접속성공"

# /etc/fail2ban/jail.local 생성 (jail.conf는 절대 직접 수정 금지)
sudo tee /etc/fail2ban/jail.local > /dev/null << 'EOF'
[DEFAULT]
# 차단 시간: 1시간 (음수 = 영구 차단)
bantime  = 3600
# 감시 윈도우: 10분 내
findtime  = 600
# 허용 실패 횟수
maxretry = 5
# 화이트리스트 (로컬 네트워크는 차단 제외)
ignoreip = 127.0.0.1/8 ::1 192.168.1.0/24
# 백엔드: systemd 저널 사용
backend = systemd
# 차단 시 이메일 알림 (sendmail 설정 필요)
destemail = admin@yourdomain.com
sender    = fail2ban@yourdomain.com
mta       = sendmail
action    = %(action_mwl)s   # 차단 + 이메일 + 로그 포함

[sshd]
enabled  = true
port     = 2222              # 변경한 SSH 포트에 맞게 조정
filter   = sshd
logpath  = %(sshd_log)s
maxretry = 3                 # SSH는 더 엄격하게 3회
bantime  = 86400             # 24시간 차단

[sshd-ddos]
enabled  = true
port     = 2222
filter   = sshd-ddos
logpath  = %(sshd_log)s
maxretry = 10
findtime = 60
bantime  = 3600

# Docker 관련 포트 보호 (Portainer 등)
[portainer]
enabled  = true
port     = 9000
filter   = apache-auth        # 로그인 실패 필터 재활용
logpath  = /var/log/syslog
maxretry = 5
bantime  = 1800
EOF

# fail2ban 서비스 활성화 및 시작
sudo systemctl enable --now fail2ban

# 상태 확인
sudo fail2ban-client status
sudo fail2ban-client status sshd

# 특정 IP 수동 차단 테스트 및 해제
sudo fail2ban-client set sshd banip 1.2.3.4
sudo fail2ban-client set sshd unbanip 1.2.3.4

# 차단된 IP 목록 확인
sudo fail2ban-client status sshd | grep "Banned IP"

# fail2ban 커스텀 필터 예시 — 반복 포트 스캔 차단
sudo tee /etc/fail2ban/filter.d/portscan.conf > /dev/null << 'EOF'
[Definition]
failregex = \[UFW BLOCK\] .* SRC=
ignoreregex =
EOF

# 필터 테스트
sudo fail2ban-regex /var/log/ufw.log /etc/fail2ban/filter.d/portscan.conf

# jail.local에 portscan jail 추가
sudo tee -a /etc/fail2ban/jail.local > /dev/null << 'EOF'

[portscan]
enabled  = true
filter   = portscan
logpath  = /var/log/ufw.log
maxretry = 10
findtime = 60
bantime  = 3600
EOF

sudo systemctl restart fail2ban

# ── 기본 정책 설정 ───────────────────────────────────────────────────────────
sudo ufw default deny incoming    # 모든 인바운드 차단
sudo ufw default allow outgoing   # 모든 아웃바운드 허용
sudo ufw default deny forward     # 포워딩 차단 (Subnet Router 미사용 시)

# ── 서비스별 포트 개방 (주석으로 용도 명확히 기록) ─────────────────────────
# SSH (변경한 포트)
sudo ufw allow 2222/tcp comment 'SSH 원격 접속'

# Docker 웹 UI — Portainer
sudo ufw allow 9000/tcp comment 'Portainer 웹 UI'

# 미디어 서버 — Jellyfin
sudo ufw allow 8096/tcp comment 'Jellyfin HTTP'
sudo ufw allow 8920/tcp comment 'Jellyfin HTTPS'

# 파일 공유 — Samba (로컬 네트워크만 허용)
sudo ufw allow from 192.168.1.0/24 to any port 445 proto tcp comment 'Samba 로컬 전용'
sudo ufw allow from 192.168.1.0/24 to any port 137,138 proto udp comment 'Samba NetBIOS 로컬'

# Wake-on-LAN (UDP 브로드캐스트)
sudo ufw allow 9/udp comment 'Wake-on-LAN'

# Tailscale WireGuard 포트
sudo ufw allow 41641/udp comment 'Tailscale WireGuard'

# ── 로깅 활성화 ─────────────────────────────────────────────────────────────
# low: 차단된 패킷만 / medium: 차단+허용 / full: 전체 (디스크 주의)
sudo ufw logging medium

# ── UFW 활성화 ──────────────────────────────────────────────────────────────
sudo ufw enable

# ── 규칙 검증 ───────────────────────────────────────────────────────────────
sudo ufw status verbose
sudo ufw status numbered   # 번호로 확인 (삭제 시 ufw delete [번호])

# 로그 실시간 모니터링
sudo tail -f /var/log/ufw.log | grep -E "BLOCK|ALLOW"

# Docker가 UFW를 우회하는 문제 방지 (중요!)
# Docker는 기본적으로 iptables를 직접 조작해 UFW 규칙을 우회함
# /etc/docker/daemon.json 에 다음 설정 추가
sudo mkdir -p /etc/docker
sudo tee /etc/docker/daemon.json > /dev/null << 'EOF'
{
  "iptables": false,
  "ip6tables": false
}
EOF
# 주의: 이 설정 적용 시 Docker 컨테이너 간 통신 라우팅을 수동 설정해야 함
# 대안: ufw-docker 유틸리티 설치
sudo apt install ufw-docker -y
sudo ufw-docker install

# logwatch 설치
sudo apt install logwatch -y

# /etc/logwatch/conf/logwatch.conf 커스텀 설정
sudo tee /etc/logwatch/conf/logwatch.conf > /dev/null << 'EOF'
# 출력 형식 (html | text | file)
Output = mail
# 수신 이메일
MailTo = admin@yourdomain.com
# 발신 이메일
MailFrom = logwatch@homeserver
# 상세도 (Low | Med | High)
Detail = Med
# 범위 (yesterday | today | all)
Range = yesterday
# 서비스 필터 (All = 전체)
Service = All
# 로그 디렉터리
LogDir = /var/log
EOF

# 즉시 테스트 실행 (stdout으로 출력)
sudo logwatch --output stdout --detail Med --range today

# cron에 등록 (매일 오전 7시 발송)
echo "0 7 * * * root /usr/sbin/logwatch --output mail" | \
  sudo tee /etc/cron.d/logwatch

# 네트워크 인터페이스 이름 확인
ip link show

# WoL 지원 여부 확인 (g = magic packet 활성화)
sudo ethtool enp3s0 | grep -i wake
# Wake-on: g  ← 이렇게 나와야 정상

# WoL 영구 활성화 (systemd-networkd 방식)
sudo tee /etc/systemd/network/10-wol.link > /dev/null << 'EOF'
[Match]
MACAddress=aa:bb:cc:dd:ee:ff

[Link]
WakeOnLan=magic
EOF

sudo systemctl restart systemd-networkd

# MAC 주소 확인 방법
ip link show enp3s0 | grep "link/ether"

# [원격 머신에서] Magic Packet 전송
sudo apt install wakeonlan
wakeonlan aa:bb:cc:dd:ee:ff

# 브로드캐스트 IP 직접 지정 (서브넷이 다른 경우)
wakeonlan -i 192.168.1.255 aa:bb:cc:dd:ee:ff

# ── Docker 공식 레포지토리로 설치 ──────────────────────────────────────────
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | \
  sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg

echo "deb [arch=$(dpkg --print-architecture) \
  signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] \
  https://download.docker.com/linux/ubuntu \
  $(lsb_release -cs) stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list

sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin

# 현재 사용자를 docker 그룹에 추가 (재로그인 필요)
sudo usermod -aG docker $USER

# ── 커스텀 브릿지 네트워크 생성 ─────────────────────────────────────────────
# homelab 네트워크: 172.20.0.0/16 대역 사용
docker network create \
  --driver bridge \
  --subnet 172.20.0.0/16 \
  --gateway 172.20.0.1 \
  --opt "com.docker.network.bridge.name"="br-homelab" \
  homelab

# 네트워크 목록 확인
docker network ls
docker network inspect homelab

# 프로젝트 디렉터리 구조 생성
mkdir -p ~/homelab/{portainer,jellyfin,samba,watchtower}
mkdir -p ~/homelab/jellyfin/{config,cache,media}

# 홈랩 전체 스택 compose 파일 작성
cat > ~/homelab/docker-compose.yml << 'YAML'
version: "3.9"

# 공통 설정 재사용 (YAML 앵커)
x-restart-policy: &restart-policy
  restart: unless-stopped

x-logging: &default-logging
  logging:
    driver: "json-file"
    options:
      max-size: "10m"
      max-file: "3"

networks:
  homelab:
    external: true   # 앞서 생성한 homelab 네트워크 사용

services:

  # ── Portainer CE: Docker 웹 관리 UI ─────────────────────────────────────
  portainer:
    image: portainer/portainer-ce:latest
    container_name: portainer
    <<: *restart-policy
    <<: *default-logging
    security_opt:
      - no-new-privileges:true
    volumes:
      - /etc/localtime:/etc/localtime:ro
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - portainer_data:/data
    ports:
      - "9000:9000"
      - "9443:9443"   # HTTPS
    networks:
      - homelab

  # ── Jellyfin: 오픈소스 미디어 서버 ──────────────────────────────────────
  jellyfin:
    image: jellyfin/jellyfin:latest
    container_name: jellyfin
    <<: *restart-policy
    <<: *default-logging
    user: "1000:1000"   # 호스트 사용자 UID:GID 일치
    environment:
      - JELLYFIN_PublishedServerUrl=http://homeserver.tail12345.ts.net:8096
    volumes:
      - ~/homelab/jellyfin/config:/config
      - ~/homelab/jellyfin/cache:/cache
      - ~/homelab/jellyfin/media:/media:ro
    ports:
      - "8096:8096"
      - "8920:8920"
    devices:
      - /dev/dri:/dev/dri   # Intel QSV 하드웨어 트랜스코딩
    networks:
      - homelab

  # ── Watchtower: 컨테이너 자동 업데이트 ─────────────────────────────────
  watchtower:
    image: containrrr/watchtower:latest
    container_name: watchtower
    <<: *restart-policy
    <<: *default-logging
    environment:
      - WATCHTOWER_CLEANUP=true          # 구버전 이미지 자동 삭제
      - WATCHTOWER_INCLUDE_STOPPED=false # 중지된 컨테이너 제외
      - WATCHTOWER_SCHEDULE=0 0 4 * * *  # 매일 오전 4시 업데이트 확인
      - WATCHTOWER_TIMEOUT=60            # 업데이트 타임아웃 60초
      - WATCHTOWER_NOTIFICATIONS=email
      - WATCHTOWER_NOTIFICATION_EMAIL_FROM=watchtower@homeserver
      - WATCHTOWER_NOTIFICATION_EMAIL_TO=admin@yourdomain.com
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER=smtp.gmail.com
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER_PORT=587
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER_USER=you@gmail.com
      - WATCHTOWER_NOTIFICATION_EMAIL_SERVER_PASSWORD=app-specific-password
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    networks:
      - homelab

volumes:
  portainer_data:
YAML

# ── 스택 실행 및 관리 명령어 ────────────────────────────────────────────────

# 전체 스택 백그라운드 기동
docker compose -f ~/homelab/docker-compose.yml up -d

# 특정 서비스만 재시작
docker compose -f ~/homelab/docker-compose.yml restart jellyfin

# 서비스 로그 실시간 확인
docker compose -f ~/homelab/docker-compose.yml logs -f jellyfin

# 전체 서비스 상태 확인
docker compose -f ~/homelab/docker-compose.yml ps

# 이미지만 업데이트 (수동)
docker compose -f ~/homelab/docker-compose.yml pull
docker compose -f ~/homelab/docker-compose.yml up -d

# 중지 및 삭제 (볼륨 보존)
docker compose -f ~/homelab/docker-compose.yml down

# 볼륨까지 완전 삭제 (주의: 데이터 손실)
docker compose -f ~/homelab/docker-compose.yml down -v

# Portainer가 이미 compose로 실행 중이라면:
# http://192.168.1.xxx:9000 또는 http://homeserver:9000 접속
# 초기 관리자 비밀번호 설정 화면이 나타남 (5분 내 설정 필요)

# 컨테이너별 리소스 통계 CLI로도 확인 가능
docker stats --format "table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}\t{{.NetIO}}"

# Portainer 에이전트 모드로 원격 Docker 호스트도 관리 가능
docker run -d \
  -p 9001:9001 \
  --name portainer_agent \
  --restart=always \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /var/lib/docker/volumes:/var/lib/docker/volumes \
  portainer/agent:latest

# ── 시나리오 1: SSH 접속 불가 ────────────────────────────────────────────────
# sshd 설정 문법 오류가 있을 때
sudo journalctl -u ssh -n 50 | claude "sshd 시작 실패 원인 분석해줘"

# 설정 파일을 직접 분석 요청
claude "이 sshd_config 설정에서 오류를 찾아줘" < /etc/ssh/sshd_config.d/99-hardening.conf

# ── 시나리오 2: Docker 컨테이너 시작 안됨 ──────────────────────────────────
# 컨테이너 로그를 AI에게 분석 요청
docker logs jellyfin 2>&1 | tail -100 | claude "jellyfin 컨테이너 시작 실패 원인 분석해줘"

# 권한 문제 자동 진단
docker inspect jellyfin | claude "컨테이너 설정에서 볼륨 마운트 권한 문제 찾아줘"

# ── 시나리오 3: UFW 규칙 문제 ──────────────────────────────────────────────
sudo ufw status verbose | claude "UFW 규칙에서 8096 포트가 차단되는 이유 분석해줘"

# ── 시나리오 4: 디스크 공간 부족 ──────────────────────────────────────────
du -sh /* 2>/dev/null | sort -hr | head -20 | claude "어느 디렉터리를 정리해야 할지 알려줘"

# ── Claude Code로 설정 파일 직접 수정 ─────────────────────────────────────
# claude가 파일을 직접 읽고 수정 (Claude Code에서만 가능)
claude "fail2ban jail.local에서 maxretry를 5에서 3으로 바꿔줘"
claude "/etc/docker/daemon.json에 log-driver json-file 설정 추가해줘"

# ── 자동화 스크립트 작성 ────────────────────────────────────────────────────
sudo tee /usr/local/bin/weekly-cleanup.sh > /dev/null << 'EOF'
#!/bin/bash
LOG="/var/log/weekly-cleanup.log"
echo "=== 주간 정리 시작: $(date) ===" >> "$LOG"

# Docker 미사용 리소스 정리
docker system prune -f --volumes >> "$LOG" 2>&1
echo "Docker 정리 완료" >> "$LOG"

# systemd 저널 7일 이상 된 로그 삭제
journalctl --vacuum-time=7d >> "$LOG" 2>&1

# APT 캐시 및 불필요 패키지 제거
apt-get autoremove -y >> "$LOG" 2>&1
apt-get autoclean >> "$LOG" 2>&1

# 임시 파일 정리
find /tmp -type f -atime +7 -delete 2>/dev/null

echo "=== 주간 정리 완료: $(date) ===" >> "$LOG"
EOF

sudo chmod +x /usr/local/bin/weekly-cleanup.sh

# ── 크론탭 등록 ─────────────────────────────────────────────────────────────
# 형식: 분 시 일 월 요일 명령
sudo tee /etc/cron.d/homeserver-maintenance > /dev/null << 'EOF'
# 매주 일요일 오전 3시 — 주간 정리 (매일 서비스 운영 중 방해 없도록 심야 실행)
0 3 * * 0 root /usr/local/bin/weekly-cleanup.sh

# 매월 1일 오전 2시 — 전체 apt 업그레이드 (unattended-upgrades 보완)
0 2 1 * * root apt-get upgrade -y >> /var/log/monthly-upgrade.log 2>&1

# 매일 오전 6시 — 디스크 사용량 체크 및 알림
0 6 * * * root /usr/local/bin/disk-alert.sh
EOF

# ── 디스크 사용량 90% 초과 시 이메일 알림 스크립트 ────────────────────────
sudo tee /usr/local/bin/disk-alert.sh > /dev/null << 'EOF'
#!/bin/bash
THRESHOLD=90
ADMIN_EMAIL="admin@yourdomain.com"
HOSTNAME=$(hostname)

while IFS= read -r line; do
  USAGE=$(echo "$line" | awk '{print $5}' | sed 's/%//')
  MOUNT=$(echo "$line" | awk '{print $6}')

  if [ "$USAGE" -ge "$THRESHOLD" ]; then
    SUBJECT="[홈서버 경고] ${HOSTNAME} 디스크 ${MOUNT} 사용량 ${USAGE}%"
    BODY="$(date)\n\n디스크 사용량이 임계치를 초과했습니다.\n\n$(df -h)\n\n대용량 디렉터리:\n$(du -sh /* 2>/dev/null | sort -hr | head -10)"
    echo -e "$BODY" | mail -s "$SUBJECT" "$ADMIN_EMAIL"
    logger -t disk-alert "경고: ${MOUNT} ${USAGE}% 사용 중"
  fi
done < <(df -h | awk 'NR>1 && /^\// {print}')
EOF

sudo chmod +x /usr/local/bin/disk-alert.sh

# 즉시 테스트
sudo /usr/local/bin/disk-alert.sh

# /etc/logrotate.d/homeserver — 홈서버 커스텀 로그 순환 설정
/var/log/weekly-cleanup.log
/var/log/monthly-upgrade.log
/var/log/homeserver-*.log {
    weekly              # 매주 순환
    rotate 8            # 최근 8개 파일 보존 (약 2개월)
    compress            # gzip 압축
    delaycompress       # 직전 파일은 압축 유예 (현재 쓰기 중일 수 있음)
    missingok           # 파일 없어도 오류 무시
    notifempty          # 빈 파일은 순환 건너뜀
    create 0640 root adm  # 새 파일 권한: rw-r-----
    dateext             # 날짜를 파일명에 포함 (cleanup.log-20260519.gz)
    sharedscripts
    postrotate
        # 순환 후 훅 (필요 시 서비스 재시작)
        # systemctl reload rsyslog > /dev/null 2>&1 || true
    endscript
}

# Docker 관련 로그는 json-file 드라이버가 별도 관리
# (docker-compose.yml의 max-size, max-file 옵션 참조)

# logrotate 설정 테스트 (강제 실행)
sudo logrotate -f /etc/logrotate.d/homeserver

# 모든 logrotate 규칙 디버그 실행
sudo logrotate -d /etc/logrotate.conf 2>&1 | head -50

# 현재 logrotate 상태 확인 (마지막 실행 시간)
cat /var/lib/logrotate/status | grep homeserver

# ── Watchtower 레이블로 컨테이너별 업데이트 정책 제어 ──────────────────────
# docker-compose.yml 서비스에 레이블 추가 예시

# 자동 업데이트 허용 (기본값)
# com.centurylinklabs.watchtower.enable: "true"

# 자동 업데이트 제외 (버전 고정 필요한 서비스)
# com.centurylinklabs.watchtower.enable: "false"

# 업데이트 전 사전 스크립트 실행
# com.centurylinklabs.watchtower.lifecycle.pre-update: /scripts/pre-update.sh

# ── Watchtower 수동 실행 (일회성) ───────────────────────────────────────────
docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  containrrr/watchtower \
  --run-once \
  --cleanup \
  jellyfin portainer   # 특정 컨테이너만 업데이트

# ── 업데이트 로그 확인 ──────────────────────────────────────────────────────
docker logs watchtower --tail 50