Настройка обратного прокси Traefik для контейнеров Docker в Ubuntu

Примечание: В этом мануале мы используем Traefik v1. Мануал для более новой версии, Traefik v2, вы найдете здесь.

Docker – довольно эффективный метод запуска приложений в среде производства. Но в некоторых ситуациях нужно запустить несколько приложений на одном хосте Docker. Возможно ли это и как это сделать? Да, в такой ситуации можно настроить обратный прокси-сервер, который будет поддерживать открытыми только порты 80 и 443.

Traefik – это обратный прокси с поддержкой Docker и встроенной панелью для мониторинга. Данный мануал поможет настроить Traefik для маршрутизации запросов к двум разным контейнерам приложений: WordPress и Adminer. Каждый контейнер подключен к БД MySQL. Сервер Traefik будет обслуживать весь трафик по HTTPS с помощью сертификата Let’s Encrypt.

Требования

  • Сервер Ubuntu 20.04, настроенный с помощью этого мануала.
  • Запущенный хост Docker. В этом вам поможет мануал Установка и использование Docker в Ubuntu 20.04.
  • Docker Compose (установить приложение можно с помощью этого мануала).
  • Домен и три записи А: db-admin.your_domain, blog.your_domain and monitor.your_domain. Каждая запись должна указывать на IP-адрес хоста Docker. В мануале используется условное обозначение your_domain, которое вы должны заменить вашим доменом.

1: Настройка и запуск Traefik

Проект Traefik предоставляет официальный образ Docker, который поможет быстро запустить Traefik в контейнере Docker.

Но прежде чем запустить такой контейнер, нужно создать конфигурационный файл и зашифрованный пароль, чтобы получить доступ к панели мониторинга.

Используйте утилиту htpasswd, чтобы создать зашифрованный пароль. Установите утилиту. Она входит в пакет apache2-utils.

sudo apt-get install apache2-utils

Затем с помощью htpasswd создайте пароль. Замените secure_password в команде паролем, который вы хотите использовать для администратора Traefik:

htpasswd -nb admin secure_password

Вывод утилиты будет иметь такой вид:

admin:$apr1$ruca84Hq$mbjdMZBAG.KWn7vfN/SNK/

Он используется в конфигурационном файле Traefic для настройки базовой аутентификации HTTP в панели мониторинга Traefik. Скопируйте всю строку, чтобы затем вставить ее в файл.

Чтобы настроить сервер Traefik, создайте файл traefik.toml в формате TOML. TOML – это стандартизированный язык конфигурации (аналогичный INI-файлам). Этот файл позволяет настроить сервер Traefik и дополнительные провайдеры. В данном мануале мы используем три доступных провайдера Traefik: api, docker и acme, который нужен для поддержки TLS сертификатов Let’s Encrypt.

Откройте файл:

nano traefik.toml

Добавьте две именованные точки входа, http и https, доступ к которым по умолчанию будет у всех бэкендов.

defaultEntryPoints = ["http", "https"]

Точки http и https мы настроим немного позже.

Настройте провайдер api, который дает доступ к интерфейсу панели мониторинга. Здесь и нужно использовать строку, созданную командой htpasswd:

...
[entryPoints] [entryPoints.dashboard] address = ":8080"
[entryPoints.dashboard.auth] [entryPoints.dashboard.auth.basic] users = ["admin:your_encrypted_password"] [api] entrypoint="dashboard"

Панель инструментов представляет собой отдельное веб-приложение, которое будет работать в контейнере Traefik через порт 8080.

Раздел entrypoints.dashboard настраивает подключение к провайдеру api.

Раздел entrypoints.dashboard.auth.basic настраивает базовую аутентификацию HTTP для панели. Вместо your_encrypted_password вставьте строку, сгенерированную утилитой htpasswd. Чтобы указать несколько пар учетных данных, разделите их запятыми.

Итак, мы определили первую точку входа, entryPoint, но для стандартного взаимодействия HTTP и HTTPS нужны другие точки, так как оно не идет через провайдер api. Раздел entryPoints настраивает адрес, который будут слушать Traefik и контейнеры. Добавьте в файл такие строки:

...
[entryPoints.http] address = ":80"
[entryPoints.http.redirect] entryPoint = "https"
[entryPoints.https] address = ":443"
[entryPoints.https.tls] ...

Точка входа http обрабатывает порт 80, а точка входа https использует порт 443 для поддержки TLS/SSL. Весь трафик, поступающий через порт 80, будет автоматически перенаправлен в точку входа https, чтобы все запросы обслуживались только по зашифрованным соединениям.

Затем добавьте следующий раздел, чтобы настроить сертификат Let’s Encrypt для Traefik.

...
[acme] email = "your_email@your_domain"
storage = "acme.json"
entryPoint = "https"
onHostRule = true
[acme.httpChallenge] entryPoint = "http"

Этот раздел называется acme. ACME – это протокол, с помощью которого сервер взаимодействует с Let’s Encrypt для управления сертификатами. Чтобы Traefik создавал сертификаты для хостов, укажите в строке email свой адрес электронной почты. Затем нужно указать, что хранить информацию Let’s Encrypt нужно в файле JSON, acme.json. В строке entryPoint должен быть порт обработки точки входа 443 (в данном случае это точка входа https).

Ключ onHostRule определяет, как Traefik будет генерировать сертификаты. Сертификаты должны появиться сразу, как только будут созданы контейнеры с указанными именами хостов; за это отвечает параметр onHostRule.

В разделе acme.httpChallenge нужно указать, как сервис Let’s Encrypt будет определять, что ему нужно сгенерировать сертификат. Мы настроим его для обслуживания файла в рамках задачи через точку входа http.

Теперь добавьте настройки провайдера docker:

...
[docker] domain = "your_domain"
watch = true
network = "web"

Провайдер Docker включает Traefik в качестве прокси-сервера для контейнеров Docker. Он будет следить (на что указывает строка watch) за новыми контейнерами в сети, которые мы скоро создадим, и открывать их как субдомены your_domain.

На этом этапе файл traefik.toml должен выглядеть так:

defaultEntryPoints = ["http", "https"] [entryPoints] [entryPoints.dashboard] address = ":8080"
[entryPoints.dashboard.auth] [entryPoints.dashboard.auth.basic] users = ["admin:your_encrypted_password"] [entryPoints.http] address = ":80"
[entryPoints.http.redirect] entryPoint = "https"
[entryPoints.https] address = ":443"
[entryPoints.https.tls] [api] entrypoint="dashboard"
[acme] email = "your_email@your_domain"
storage = "acme.json"
entryPoint = "https"
onHostRule = true
[acme.httpChallenge] entryPoint = "http"
[docker] domain = "your_domain"
watch = true
network = "web"

Сохраните и закройте файл.

2: Запуск контейнера Traefik

Создайте сеть Docker для поддержки взаимодействия прокси-сервера и контейнеров. Такая сеть необходима, потому что ее можно использовать для работы с приложениями, запущенными в Docker Compose. Для примера можно назвать такую сеть web.

docker network create web

Когда контейнер Traefik будет запущен, нужно будет добавить его в эту сеть. Позже можно добавить в нее дополнительные контейнеры, чтобы использовать Traefik в качестве прокси-сервера для этих контейнеров.

Затем создайте пустой файл, в котором будут храниться данные о шифровании Let’s Encrypt. Поместите его в контейнер, чтобы Traefik мог его использовать.

touch acme.json

Затем заблокируйте доступ к файлу acme.json, чтобы только пользователь root мог читать и изменять его. Если вы этого не сделаете, Traefik не сможет использовать этот файл.

chmod 600 acme.json

Когда файл будет передан в Docker, внутри контейнера ему автоматически присвоят владельца root.

Теперь создайте контейнер Traefik с помощью команды:

docker run -d \
-v /var/run/docker.sock:/var/run/docker.sock \
-v $PWD/traefik.toml:/traefik.toml \
-v $PWD/acme.json:/acme.json \
-p 80:80 \
-p 443:443 \
-l traefik.frontend.rule=Host:monitor.your_domain \
-l traefik.port=8080 \
--network web \
--name traefik \
traefik:1.7-alpine

Давайте разделим команду на части и рассмотрим ее подробно:

  • Флаг –d запускает контейнер как демон, в фоновом режиме. Затем команда добавляет в контейнер файл docker.sock, благодаря чему процесс Traefik может прослушивать изменения в контейнерах. Также в контейнер можно поместить файлы traefik.toml и acme.json.
  • После этого порты 80 и 443 хоста Docker подключаются к таким же портам в контейнере Traefik. Теперь Traefik получает все запросы HTTP и HTTPS.
  • Затем нужно установить две метки Docker, которые будут направлять трафик на хост monitor.your_domain по порту :8080 внутри контейнера Traefik, открывая дашборд.
  • В качестве сети контейнера нужно указать web. Контейнер называется traefik.
  • Для создания контейнера используется образ traefik:1.7-alpine.

ENTRYPOINT образа Docker – это команда, которая запускается всегда, когда контейнер создается из образа. В этом случае она представляет собой бинарный файл traefik внутри контейнера. Дополнительные аргументы этой команде можно передать при запуске контейнера, но все необходимые данные мы указали ранее в файле traefik.toml.

После запуска контейнера у вас будет дашборд, с помощью которого можно просмотреть состояние контейнеров. Вы также можете использовать эту панель для визуализации интерфейсов и бэкэндов, которые зарегистрировал Traefik. Откройте панель мониторинга в браузере:

https://monitor.your_domain

Вам будет предложено ввести имя и пароль администратора, и пароль (имя – admin, пароль – строка, которую вы создали в разделе 1).

После аутентификации на экране появится дашборд.

Пока что на дашборде еще не так много данных. Оставьте это окно открытым, и вы увидите, что содержимое дашборда изменится, когда вы добавите контейнеры для Traefik.

Теперь у вас есть прокси-сервер Traefik, настроенный для взаимодействия с Docker и готовый управлять другими контейнерами Docker.

3: Добавление контейнеров для Traefik

Контейнер Traefik запущен и готов обслуживать другие контейнеры приложений. Добавьте следующие контейнеры:

  1. Блог, запущенный с помощью официального образа WordPress.
  2. Сервер управления базами данных на основе официального образа Adminer.

Управлять этими приложениями можно с помощью Docker Compose, используя файл docker-compose.yml:

nano docker-compose.yml

Укажите в файле версии и сеть:

version: "3"
networks:
web:
external: true
internal:
external: false
Версия 3 Docker Compose – это новейшая версия формата файла Compose.

Чтобы сервер Traefik мог опознать приложения, они должны входить в одну сеть. Поскольку используемая сеть создана вручную, нужно указать ее имя (web) и присвоить строке external значение true. Затем нужно определить другую сеть, чтобы связать эти контейнеры с контейнером базы данных, который не будет обслуживаться через контейнер Traefik. Эта внутренняя сеть будет называться internal.

Затем нужно определить все сервисы по очереди. Давайте начнем с контейнера blog, который основан на официальном образе WordPress. Добавьте в файл такую конфигурацию:

...
services:
blog:
image: wordpress:4.9.8-apache
environment:
WORDPRESS_DB_PASSWORD:
labels:
- traefik.backend=blog
- traefik.frontend.rule=Host:blog.your_domain
- traefik.docker.network=web
- traefik.port=80
networks:
- internal
- web
depends_on:
- mysql

Параметр environment позволяет указать переменные среды, которые будут установлены внутри контейнера. Если значение WORDPRESS_DB_PASSWORD не установлено, Docker Compose будет извлекать его из оболочки и передавать при создании контейнера. Определить эту переменную среды можно в оболочке перед запуском контейнеров – при этом пароли не попадут в конфигурационный файл.

В разделе labels указываются значения для Traefik. Метки Docker сами по себе ничего не делают, но Traefik читает их и понимает, как обращаться с контейнерами. Каждая метка выполняет такие действия:

  • traefik.backend определяет имя сервиса бэкенда (который указывает на контейнер blog).
  • traefik.frontend.rule=Host:blog.your_domain исследует запрашиваемый хост и, если он совпадает с шаблоном blog.your_domain, перенаправляет трафик в контейнер blog.
  • traefik.docker.network=web определяет сеть, в которой Traefik может найти внутренний IP-адрес контейнера. Поскольку Traefik имеет доступ ко всей информации Docker, он может случайно выбрать IP сети internal, если сеть не указана явно.
  • traefik.port указывает порт, который Traefik должен использовать для маршрутизации трафика в контейнеры.

При такой конфигурации весь трафик, отправленный на порт 80 хоста Docker, будет перенаправлен в контейнер blog.

Этот контейнер принадлежит двум различным сетям, чтобы Traefik мог найти его через сеть web и связываться с контейнером базы данных через сеть internal.

Параметр depends_on помогает Docker Compose понять, что этот контейнер нужно запускать после запуска его зависимостей. Поскольку для работы WordPress необходима рабочая БД, контейнер mysql запускается раньше, чем контейнер blog.

Теперь настройте сервис MySQL:

services:
...
mysql:
image: mysql:5.7
environment:
MYSQL_ROOT_PASSWORD:
networks:
- internal
labels:
- traefik.enable=false

Для создания этого контейнера используется официальный образ MySQL 5.7. Обратите внимание: параметру environment снова не присвоено никакого значения. Для переменных MYSQL_ROOT_PASSWORD и WORDPRESS_DB_PASSWORD необходимо установить одинаковое значение, чтобы контейнер WordPress мог связываться с MySQL. Контейнер mysql не должен взаимодействовать с Traefik или с внешним миром, потому он принадлежит только сети internal. Поскольку Traefik имеет доступ к сокету Docker, процесс по-прежнему будет открывать фронтенд контейнера mysql по умолчанию. Поэтому нужно добавить метку traefik.enable=false, чтобы Traefik не смог сделать этот контейнер доступным.

Теперь нужно добавить параметры контейнера Adminer:

...
adminer:
image: adminer:4.6.3-standalone
labels:
- traefik.backend=adminer
- traefik.frontend.rule=Host:db-admin.your_domain
- traefik.docker.network=web
- traefik.port=8080
networks:
- internal
- web
depends_on:
- mysql

Этот контейнер основан на официальном образе Adminer. Параметры network и depends_on совпадают с этими же параметрами контейнера blog.

Однако поскольку весь трафик порта 80 хоста Docker направляется непосредственно в контейнер blog, нужно настроить контейнер adminer немного иначе, чтобы он получал свой трафик. Благодаря строке traefik.frontend.rule=Host:db-admin.your_domain сервер Traefik будет проверять запрашиваемый хост. Если он соответствует шаблону db-admin.your domain, Traefik направит трафик в контейнер adminer.

В результате файл docker-compose.yml будет выглядеть так:

version: "3"
networks:
web:
external: true
internal:
external: false
services:
blog:
image: wordpress:4.9.8-apache
environment:
WORDPRESS_DB_PASSWORD:
labels:
- traefik.backend=blog
- traefik.frontend.rule=Host:blog.your_domain
- traefik.docker.network=web
- traefik.port=80
networks:
- internal
- web
depends_on:
- mysql
mysql:
image: mysql:5.7
environment:
MYSQL_ROOT_PASSWORD:
networks:
- internal
labels:
- traefik.enable=false
adminer:
image: adminer:4.6.3-standalone
labels:
- traefik.backend=adminer
- traefik.frontend.rule=Host:db-admin.your_domain
- traefik.docker.network=web
- traefik.port=8080
networks:
- internal
- web
depends_on:
- mysql

Сохраните и закройте файл.

Прежде чем запустить контейнеры, нужно задать значения переменных WORDPRESS_DB_PASSWORD и MYSQL_ROOT_PASSWORD.

export WORDPRESS_DB_PASSWORD=secure_database_password
export MYSQL_ROOT_PASSWORD=secure_database_password

Вместо secure_database_password укажите надежный пароль БД. В WORDPRESS_DB_PASSWORD и MYSQL_ROOT_PASSWORD нужно использовать один и тот же пароль.

Теперь запустите контейнеры:

docker-compose up -d

Снова откройте дашборд Traefik. Вы увидите, что в нем появились разделы backend и frontend, а в них – новые серверы.

Откройте в браузере blog.your_domain (где your_domain – ваш домен). Соединение будет перенаправлено на зашифрованный порт 443. Теперь можно закончить установку WordPress.

После этого откройте в браузере db-admin.your_domain. Контейнер mysql не доступен в интернете, но контейнер adminer имеет доступ к нему через внутреннюю сеть Docker (internal).

На экране появится форма входа Adminer. В выпадающем меню System выберите MySQL. Укажите mysql в поле Server, используйте имя пользователя root, в поле пароля введите значение переменной MYSQL_ROOT_PASSWORD. Поле Database оставьте пустым. Нажмите Login.

После этого вы получите доступ к интерфейсу Adminer.

Оба сайта теперь работают. Чтобы получить доступ к дашборду, введите monitor.your_domain.

Заключение

Теперь сервер Traefik проксирует запросы в контейнеры приложений Docker.

Traefik позволяет легко настраивать большое количество сервисов и устраняет необходимость перезапускать контейнер traefik при добавлении новых приложений в контейнер traefik. Traefik незамедлительно получает все сведения об изменениях через файл сокета Docker.

Чтобы узнать больше о возможностях Traefik, читайте его официальную документацию.

Tags: , , , , , ,

Добавить комментарий