Logo Traefik

# Présentation

Traefik est un reverse proxy HTTP moderne et un répartiteur de charge qui facilite le déploiement de micro services. Traefik est gratuit, OpenSource et SelfHosted.

Traefik s'intègre à vos composants d'infrastructure existants (Docker, mode Swarm, Kubernetes, Marathon, Consul, Etcd, Rancher, Amazon ECS, ...) et se configure automatiquement et dynamiquement.

Ce qui distingue Traefik, outre ses nombreuses fonctionnalités, est qu'il découvre automatiquement la bonne configuration des services. La magie opère lorsque Traefik inspecte votre infrastructure, où il trouve les informations pertinentes et découvre quel service sert quelle requête.

Traefik est nativement compatible avec les principales technologies de cluster, telles que Kubernetes, Docker, Docker Swarm, AWS, Mesos, Marathon, et bien d'autres encore. (Il fonctionne même pour les logiciels hérités fonctionnant sur du métal nu).

Avec Traefik, il n'est pas nécessaire de maintenir et de synchroniser un fichier de configuration séparé : tout se passe automatiquement, en temps réel (pas de redémarrage, pas d'interruption de connexion). On trouve deux types de fichiers de configuration, que l'on verra plus tard.

En développant Traefik, notre objectif principal est de le rendre simple à utiliser, et nous sommes sûrs que vous allez l'apprécier.
Vous pouvez retrouver le projet ici ou sur Github.

# Prérequis

- Pour obtenir un certificat automatiquement, il est nécessaire d'ouvrir le port HTTP sur votre routeur et serveur ;
- Avoir Docker et Docker-compose d'installés ;
- Ports 80 et 443 d'ouverts au niveau du pare-feu ;
- Enregistrement(s) DNS de type A et/ou AAAA pointant(s) vers votre serveur.

Dans mon cas, les parties liées au certificat sont commentées, car j'utilise un certificat wildcard généré au préalable via un challenge DNS (OVH). Si cela vous intéresse, voici un guide.

# Configuration

Il faut d'abord commencer par créer les fichiers de configuration. Traefik utilise deux types de configuration.

- La configuration dynamique : routage, middlewares, certificats… Elle peut être modifiée à chaud ;
- La configuration de démarrage (statique) : éléments pour démarrer comme les providers, ports d'écoute, protocoles…

Vous pouvez trouver un exemple ici.

# Installation

## Docker-compose

L'installation se fait majoritairement via une image Docker. J'ai choisi le déploiement par docker-compose, je trouve cela bien plus pratique.

    # By Khroners
    version: '3.8'
    services:
      traefik:
        image: traefik:2.4.8 #utiliser le dernier tag
        container_name: traefik
        restart: unless-stopped
        security_opt:
          - no-new-privileges:true
        networks:
          - proxy
        ports:
          - 80:80
          - 443:443
        volumes:
          - /etc/localtime:/etc/localtime:ro
          - /var/run/docker.sock:/var/run/docker.sock:ro
          - /apps/traefik/traefik.yml:/etc/traefik/traefik.yml:ro
          - /apps/traefik/config/:/etc/traefik/config/:ro
    # Décommentez cette ligne si vous n'utilisez pas un certificat déjà généré
    #      - /apps/traefik/acme.json:/acme.json
    #Commentez cette ligne si vous n'utilisez pas un certificat généré au préalable
          - /etc/letsencrypt/archive/khroners.fr-0001/:/certs:ro # Edit the path of your certificates
        labels:
          - traefik.enable=true
          - traefik.http.routers.traefik.entrypoints=http
          - traefik.http.routers.traefik.rule=Host("traefik.exemple.fr")
          - traefik.http.middlewares.traefik-auth.basicauth.users=admin:{SHA}0DPiKuNIrrVmD8IUCuw1hQxNqZc=
          - traefik.http.middlewares.traefik-https-redirect.redirectscheme.scheme=https
          - traefik.http.routers.traefik.middlewares=traefik-https-redirect
          - traefik.http.routers.traefik-secure.entrypoints=https
          - traefik.http.routers.traefik-secure.rule=Host("traefik.exemple.fr")
          - traefik.http.routers.traefik-secure.middlewares=traefik-auth
          - traefik.http.routers.traefik-secure.tls=true
    # Décommentez cette ligne si vous n'utilisez pas un certificat déjà généré
    #      - traefik.http.routers.traefik-secure.tls.certresolver=http
          - traefik.http.routers.traefik-secure.service=api@internal

    networks:
      proxy:
        external: true

Le fichier docker-compose.yml est également disponible ici.

Pour une installation rapide, vous pouvez récupérer le répertoire, modifier les fichiers de configuration (les URL, certificats, tags des images) et lancer le conteneur.

    mkdir /apps/
    cd /apps/
    git clone https://github.com/Khroners/Traefik-with-A-plus-on-SSL-Labs-Headers

Une fois les fichiers de configuration modifiés (traefik.yml, config.yml et tls.yml), vous pouvez lancer le conteneur et vérifier son bon fonctionnement.

    cd Traefik-with-A-plus-on-SSL-Labs-Headers/
    docker-compose up -d
    docker logs <id_du_conteneur>

> Attention : Pensez bien à modifier les fichiers de configuration pour correspondre à votre infrastructure (URL, chemin de destination des volumes, certificats, …)

# Configuration des conteneurs pour l'utilisation de Traefik

Il est nécessaire de rajouter des étiquettes ("labels") aux conteneurs pour qu'ils soit détectés par Traefik. Voici un exemple avec le déploiement de Wordpress.

    version: "3.8"

    services:
       # Base de données
       wordpress-db:
         container_name: $SERVICE-db
         image: mysql:5.7.34
         volumes:
           - $DATA_LOCATION/db:/var/lib/mysql
         restart: always
         environment:
           MYSQL_ROOT_PASSWORD: $DB_ROOT
           MYSQL_DATABASE: wordpress
           MYSQL_USER: $DB_USER
           MYSQL_PASSWORD: $DB_PASSWORD

         networks:
           - proxy

       wordpress:
         container_name: $SERVICE
         depends_on:
           - wordpress-db
         image: wordpress:php7.4
         restart: always
         volumes:
           - $DATA_LOCATION/uploads.ini:/usr/local/etc/php/conf.d/uploads.ini
           - $DATA_LOCATION/html:/var/www/html
         environment:
           WORDPRESS_DB_HOST: wordpress-db:3306
           WORDPRESS_DB_USER: $DB_USER
           WORDPRESS_DB_PASSWORD: $DB_PASSWORD
           WORDPRESS_DB_NAME: wordpress
    #     ports:
    #      - 8082:8082

         networks:
           - proxy

         labels:
          - "traefik.enable=true"
          - "traefik.http.routers.$SERVICE.entrypoints=http"
          - "traefik.http.routers.$SERVICE.rule=Host(`$SERVICE.$NDD`)"
          - "traefik.http.middlewares.$SERVICE-https-redirect.redirectscheme.scheme=https"
          - "traefik.http.routers.$SERVICE.middlewares=$SERVICE-https-redirect"
          - "traefik.http.routers.$SERVICE.middlewares=hsts-headers@file"
          - "traefik.http.routers.$SERVICE-secure.entrypoints=https"
          - "traefik.http.routers.$SERVICE-secure.rule=Host(`$SERVICE.$NDD`)"
          - "traefik.http.routers.$SERVICE-secure.middlewares=hsts-headers@file"
          - "traefik.http.routers.$SERVICE-secure.tls=true"
    #      - "traefik.http.routers.$SERVICE-secure.tls.certresolver=http"
          - "traefik.docker.network=proxy"

    networks:
      proxy:
        external:
          name: proxy

On remarque ici que pour chaque service, on rajoute le réseau “proxy” qui correspond au réseau de Traefik. Ce réseau est déclaré à la fin du fichier.

Les labels sont rajoutés pour le service exposé.

> Attention : Décommentez le label si vous n'utilisez pas un certificat pré-généré.

Le serveur Wordpress sera donc accessible via https://$SERVICE.$NDD/.

Source d'origine | Rédacteur Alexis BONNET