Docker, Traefik, Portainer를 하나의 완벽한 스택으로 통합하는 방법

인포마텍 디지털 » 자료 » Docker, Traefik, Portainer를 완벽한 스택으로 통합하는 방법

Docker, Traefik, Portainer를 활용한 최신 스택 구축은 현재 단일 서버에서 컨테이너를 관리하고 복잡한 설정 없이 여러 서비스를 HTTPS로 노출하는 가장 쉬운 방법 중 하나입니다. Traefik은 동적 리버스 프록시 역할을 하고, Portainer는 Docker를 관리할 수 있는 매우 간편한 웹 인터페이스를 제공하며, 필요에 따라 Swarm 관리도 지원합니다.

이 기사에서는 다음 내용을 살펴보겠습니다. 트라에픽을 포르테이너 앞에 리버스 프록시로 배치 "일반적인" Docker(독립 실행형) 시나리오와 Docker Swarm 클러스터 모두에서 TLS(자체 서명 또는 Let's Encrypt)를 통합하는 방법과 사용되는 구성 파일에 대해 알아보겠습니다.traefik.yml, dynamic.yml y docker-compose.yml) 그리고 Traefik에서 미들웨어, 네트워크 및 일반적인 태깅 문제와 관련된 몇 가지 일반적인 팁입니다.

Docker, Traefik, Portainer는 아키텍처에서 어떤 역할을 하나요?

이러한 구성에서 Docker 는 컨테이너가 실행되는 기본 계층이며, Traefik은 포트 80과 443에서 모든 HTTP/HTTPS 요청을 수신하여 적절한 컨테이너로 전송하는 리버스 프록시 및 로드 밸런서 역할을 하고, Portainer는 이미지, 컨테이너, 볼륨, 네트워크 및 Docker 또는 Swarm 스택을 관리하기 위한 그래픽 인터페이스를 제공합니다 .

핵심은 Docker를 사용하는 단일 호스트를 구축하는 것입니다. Traefik은 "관문"에 위치해 있습니다.진입 지점에서 들어보세요 web (80) Y websecure (443)은 TLS 인증서(일반적으로 Let's Encrypt 사용)를 해결하고 Docker 공급자와의 통합 덕분에 컨테이너에 레이블을 추가하여 노출하는 서비스를 자동으로 검색합니다.

반면에 Portainer는 다른 컨테이너와 마찬가지로 작동하지만, 내부가 노출되어 있다는 점이 다릅니다. 예를 들어 특정 하위 도메인 portainer.tudominio.comTLS로 보호되며, 필요에 따라 Portainer 자체 로그인 외에 추가 인증 미들웨어를 통해 보호됩니다. 이 모든 것은 하나의 통합된 시스템으로 관리됩니다. 도커 작성 Traefik, Portainer 및 공통 네트워크 유형을 정의합니다. proxy.

이 접근 방식의 명확한 장점은 컨테이너에 레이블을 추가하는 것만으로 새로운 서비스를 간단하게 배포 할 수 있다는 것입니다 . Traefik은 Docker의 변경 사항을 감지하고 라우터, 서비스 및 미들웨어를 즉시 생성하여 몇 초 만에 정적 구성 파일을 수동으로 수정하지 않고도 새로운 서브도메인이나 경로를 실행할 수 있습니다.

Traefik 정적 설정: traefik.yml

Traefik의 정적 설정은 일반적으로 다음과 같은 파일에 저장됩니다. traefik.yml컨테이너 내부에 장착됩니다. 여기에 정의되어 있습니다. 대시보드, 진입점, 공급자 및 인증서 확인자 Let's Encrypt도 그중 하나입니다.

일반적인 YAML 설정은 다음과 같은 내용을 사용하여 API와 제어판을 활성화하는 것으로 시작합니다. api: dashboard: true이를 통해 라우터, 서비스 및 미들웨어를 볼 수 있는 웹 인터페이스에 액세스할 수 있습니다. 이 패널은 기본적으로 인증되지 않으므로 나중에 동적 구성을 통해 기본 인증으로 보안을 강화하는 방법을 살펴보겠습니다.

다음으로 진입점이 정의됩니다. 일반적으로 다음과 같은 진입점이 있습니다. 진입점 web 80번 항구에서 그리고 다른 websecure 443에서. 에서 web 자동 리디렉션은 일반적으로 다음과 같이 구성됩니다. websecureHTTP 접속이 모두 HTTPS로 리디렉션되도록 합니다.

일반적인 개요에는 섹션이 포함됩니다. http.redirections.entryPoint.to: websecure 리디렉션을 강제하고 모든 암호화된 트래픽을 보안 진입점에 집중시키기 위해서입니다.

에 websecure TLS를 사용해야 한다는 안내와 함께 링크가 제공됩니다. certResolver (예를 들어 letsencrypt)는 인증서를 자동으로 관리하는 역할을 담당합니다. 이 모든 것은 다음을 통해 지원됩니다. 절정이는 Let's Encrypt가 인증서를 발급하고 갱신하는 데 사용하는 프로토콜입니다.

블록에서 제공 Docker 공급자가 소켓을 가리키도록 구성되었습니다. unix:///var/run/docker.sock핵심 옵션 하나가 있습니다: exposedByDefault: false이를 통해 Traefik은 기본적으로 모든 컨테이너를 게시하지 않고, 레이블이 지정된 컨테이너만 게시합니다. traefik.enable=true파일 공급자를 구성할 수도 있습니다.file예를 들어, 추가적인 동적 구성을 로드하려면 /configurations/dynamic.yml.

마지막으로, 정적 파일에는 일반적으로 다음 섹션이 포함됩니다. certificatesResolversACME 리졸버가 정의된 위치: 등록 이메일, 저장 파일(일반적으로) acme.json키 유형(예: EC384) 및 검증 방법(예: httpChallenge 진입 지점에서 web중요한 것은 실제 이메일 주소를 설정하세요 이 섹션은 Let's Encrypt에서 알림 및 갱신에 사용하기 때문에 반드시 입력해야 합니다. 더미 값이나 잘못된 형식의 값을 입력하면 Traefik 컨테이너 시작 시 오류가 발생할 수 있습니다.

이 YAML 구성 외에도 다른 배포 방식이 있습니다. TOML 형식(traefik.toml)하지만 논리는 동일합니다. 섹션 리졸버 인증서(예: [certificatesResolvers.main.acme](예를 들어) 다음과 같은 과제를 정의합니다. dnsChallenge 와 provider = "route53") 그리고 다음과 같은 기본 TLS 옵션을 추가합니다. forzar minVersion = "VersionTLS13" 또는 목록을 구성하세요 cipherSuites 퍼미티도스.

동적 구성: 미들웨어, TLS 및 보안

Traefik의 동적 부분은 일반적으로 다음과 같은 파일에 저장됩니다. dynamic.yml파일 제공자에 의해 로드됩니다. 여기에서 정의합니다. 미들웨어 및 TLS 옵션 Traefik 컨테이너를 재시작하지 않고도 수정할 수 있으므로, 보안 설정을 즉시 조정하는 데 매우 유용합니다.

대표적인 예로는 헤더 미들웨어를 생성하는 경우가 있습니다. secureHeadersHSTS 및 HTTPS 의무 사용과 관련된 정책을 추가합니다. YAML에서는 다음과 같은 매개변수를 찾을 수 있습니다. sslRedirect: true, forceSTSHeader: true, stsIncludeSubdomains: true, stsPreload: true 및 stsSeconds 매우 빠릅니다(예: 1년을 초 단위로 환산). 이는 브라우저 측면에서 트래픽 보안을 강화합니다.

또 다른 일반적인 미들웨어는 기본 인증을 위한 미들웨어입니다. 예를 들어, user-auth 유형 basicAuth여기서 사용자 목록은 다음과 같은 형식으로 선언됩니다. usuario:hash해시는 일반적으로 다음과 같이 생성됩니다. htpasswd 이 미들웨어는 파일에 내장되어 있습니다. 일반적으로 Traefik 대시보드 라우터와 연결되어 있으므로 HTTPS 액세스 외에도 사용자 이름과 비밀번호가 필요합니다.

동일한 동적 구성 내에서 차단이 발생하는 것은 흔한 일입니다. tls.options 기본 프로필 포함 (default(여기서 지원되는 암호화 방식과 최소 TLS 버전이 설정됩니다. 예를 들어) VersionTLS12일부 배포 환경에서는 여러 옵션이 정의됩니다(예: 프로필 이름). tls12 그리고 다른 default필요에 따라 다양한 서비스에 맞게 보안 수준을 조정합니다.

사용하고자 하는 환경에서 TLS는 내부적으로도 작동합니다. Traefik과 Portainer 같은 백엔드 서비스 간에, 해당 서비스에 공인 CA에서 인정하는 인증서가 없는 경우 문제가 발생할 수 있습니다. 바로 이럴 때 해당 옵션이 유용합니다. insecureSkipVerify이는 다음과 같이 구성됩니다. providers.http.tls 또는 적절한 TLS 옵션에서 이 기능을 사용하면 Traefik이 백엔드 인증서 유효성 검사를 우회할 수 있습니다. 이는 연구실 환경이나 내부 자체 서명 인증서에 유용하지만, 검증 절차를 완화하므로 주의해서 사용해야 합니다.

실질적인 세부 사항: 파일 dynamic.yml 실시간으로 편집할 수 있습니다.Traefik은 재시작 없이 동적 구성을 다시 로드하므로 프록시 가용성에 영향을 주지 않고 미들웨어를 추가 또는 제거하고, 보안 헤더를 변경하거나, 기본 인증을 수정할 수 있습니다.

Docker 독립 실행형 환경에서 Traefik 및 Portainer와 함께 docker-compose를 사용하는 방법

Swarm을 사용하지 않는 순수 Docker 환경에서 가장 일반적인 작업은 컨테이너를 실행하는 것입니다. Traefik과 Portainer는 단일 docker-compose.yml 이는 서비스와 예를 들어 '공유 브리지형 네트워크'라고 불리는 공유 브리지형 네트워크를 모두 정의합니다. proxy.

서비스 트라에픽 일반적으로 공식 이미지를 사용합니다. 예를 들어 traefik:latest 또는 다음과 같은 특정 버전 traefik:v3.4포트가 매핑되었습니다. 80 및 443 웹 트래픽의 경우, 그리고 일부 예시에서는 제어판을 내부적으로 노출하기 위해 포트 8080을 사용합니다. 또한, 해당 옵션이 추가되었습니다. restart: unless-stopped 보안은 다음과 같이 강화됩니다. security_opt: - no-new-privileges:true 컨테이너 내부에서 권한 상승 위험을 줄이기 위해서입니다.

볼륨과 관련하여 Traefik은 읽기 전용 Docker 소켓을 마운트해야 합니다./var/run/docker.sock:/var/run/docker.sock:ro컨테이너를 검색하려면 정적 파일을 사용하세요. traefik.yml 동적 구성이 저장될 디렉터리 (./traefik-data/configurations:/configurations해당 파일도 마운트되었습니다. acme.jsonTraefik은 Let's Encrypt에서 발급한 인증서를 이 위치에 저장합니다. 이 파일은 호스트에 생성되고 권한이 부여됩니다. 600 적절한 사용자만 읽고 쓸 수 있도록 권한을 설정합니다. 만약 권한을 644로 설정해 두면 Traefik에서 오류가 발생하는 경우가 많습니다.

트라에픽이 마법을 부리는 비결은 바로 이것입니다. 서비스 라벨그 외에도 다음과 같은 내용을 확인할 수 있습니다. traefik.enable=true (이렇게 하면 Docker 제공자가 이 서비스를 노출할 수 있습니다.) traefik.docker.network=proxy (Traefik이 컨테이너와 통신하는 데 사용할 네트워크를 나타냅니다.) 그리고 라우터는 다음과 같습니다. traefik.http.routers.traefik-secure진입점을 정의하는 레이블이 포함되어 있습니다.websecure호스트 규칙(예: Host(`traefik.tudominio.com`)), 관련 서비스(api@internal) 및 인증 미들웨어(user-auth@file).

서비스 포테이너 같은 docker-compose.yml 일반적으로 사용합니다 portainer/portainer-ce:latest (라이선스가 있는 경우 엔터프라이즈 에디션도 마찬가지입니다.) Docker 소켓, 데이터 폴더 등 유사한 볼륨이 마운트됩니다../portainer-data:/data) 그리고 종종 또한 /etc/localtime 호스트의 시간대를 상속받도록 합니다.

Portainer의 라벨은 Traefik에 등록됩니다. traefik.enable=true, traefik.docker.network=proxy다음과 같은 유형의 라우터 traefik.http.routers.portainer-secure 진입점 포함 websecure 그리고 호스트 규칙은 다음과 같습니다. Host(`portainer.tudominio.com`)또한 Traefik이 사용해야 하는 서비스가 정의되어 있으며, 예를 들어 Portainer의 내부 포트를 가리킵니다. traefik.http.services.portainer.loadbalancer.server.port=9000.

이 모든 일이 진행되는 가운데, 출시 이후 docker compose up -d 스택 디렉토리에서 Traefik은 이미지를 다운로드하고 네트워크를 생성합니다. proxy 외부로 선언되고 구성된 하위 도메인에 두 패널을 모두 노출하는 경우, Let's Encrypt 덕분에 HTTPS가 자동으로 적용됩니다.그 시점부터 새로운 서비스를 추가하는 것은 프로젝트를 복제하고, 몇 가지 Traefik 레이블을 추가하고, 네트워크에 연결하는 것만으로 간단하게 완료됩니다. proxy.

Docker Swarm 시나리오: 클러스터 내 Portainer 및 Traefik 사용

Docker Swarm을 활성화하면 서비스가 스택으로 배포되고 네트워크가 일반적으로 오버레이 기반으로 구성되기 때문에 약간의 변화가 생깁니다. 하지만 Traefik과 Portainer의 기본 로직은 매우 유사합니다. Traefik은 계속해서 리버스 프록시 및 동적 서비스 검색기 역할을 하며, Portainer는 독립 실행형 모드와 Portainer + 에이전트 모드 모두에서 작동하여 클러스터 내 원격 노드를 관리할 수 있습니다.

일반적인 Swarm 배포 환경에서는 적용하기 전에 스택이 생성됩니다. 두 개의 오버레이 네트워크 Traefik은 이를 사용하여 노드 간 트래픽을 라우팅합니다. 또한 Portainer 데이터(예시)를 저장하기 위한 볼륨이 생성됩니다. portainer_data) 그리고, 필요하다면, 하나 더 acme.json 또는 Traefik이 인증서와 구성을 저장하는 디렉터리입니다.

El docker-compose.yml (그리고 나서 다음과 같이 전개됩니다) docker stack deploy 예를 들어, -c portainer.yml)는 일반적으로 두 가지 서비스를 정의합니다. 포르테이너 에이전트모드에서 실행됩니다. global 모든 Linux 노드에서 실행되며, 메인 Portainer 서비스(CE 또는 EE)는 일반적으로 관리자 노드에서만 실행되도록 제약 조건이 있는 복제 모드로 유지됩니다.

Portainer 에이전트는 Docker 소켓과 볼륨 디렉터리를 마운트합니다./var/lib/docker/volumes리소스를 검사할 수 있도록 하기 위해 Traefik과 공유할 오버레이 네트워크에 연결됩니다. traefik_publicPortainer의 주요 서비스는 TCP를 통해 에이전트와 통신하도록 구성할 수 있습니다.tcp://tasks.agent:9001그리고 실제로 일부 예시에서는 해당 명령어가 다음과 같이 표시됩니다. --tlsskipverify 필요한 경우 TLS 검증을 건너뛰도록 댓글을 달았습니다.

동일한 스택 또는 다른 스택에서 Traefik은 Swarm 모드의 Docker 공급자를 사용하여 시작됩니다.swarmMode = true TOML 또는 플래그의 해당 옵션에서 태그가 지정된 서비스를 관찰합니다. 구성에는 다음이 포함됩니다. certificatesResolvers.main.acme Let's Encrypt의 경우, dnsChallenge 다음과 같은 공급업체와 함께 Route53 DNS를 통해 인증서를 검증하려면, 그리고 특정 블록을 사용하려면 tls.options 예를 들어, 강제되는 경우 minVersion = "VersionTLS13" 기본 프로필의 경우 명시적인 목록이 정의됩니다. cipherSuites TLS 1.2 프로필의 경우.

스웜(Swarm)에서 포르테이너(Portainer)가 선보이는 레이블들도 동일한 철학을 따릅니다. traefik.enable=true라우터 같은 traefik.http.routers.portainer 와 Host(`portainer.midominio.com`), traefik.http.routers.portainer.entrypoints=https (o websecure (명칭에 따르면) 그리고 traefik.http.routers.portainer.tls=true 해당 라우터에서 TLS를 활성화하려면 다음을 지정할 수 있습니다. 또한 다음을 지정할 수도 있습니다. 인증서 해결사 와 traefik.http.routers.portainer.tls.certresolver=main 그리고 서비스가 내부적으로 HTTPS를 사용하는 경우 백엔드 스키마도 필요합니다. traefik.http.services.portainer.loadbalancer.server.scheme=https.

Swarm의 Traefik 디버그 로그에서 생성된 구성을 확인할 수 있습니다. 예를 들어 라우터 목록이 표시됩니다. api y portainer검색된 서비스(예시) portainer en http://10.0.1.12:9000 그리고 서비스 traefik (대시보드의 8080 포트를 가리키며) 레이블이 제대로 정의되지 않아 문제가 발생할 경우 다음과 같은 메시지가 표시됩니다. "라우터에 대한 서비스 이름을 정의할 수 없습니다. 서비스가 너무 많습니다."이는 일반적으로 라우터와 관련된 서비스 충돌 또는 중복이 있음을 나타냅니다.

최소 예시: Traefik을 사용한 whoami, 라우팅 및 TLS

Portainer를 고려하기 전에, 이미지와 같이 매우 간단한 백엔드를 사용하여 Traefik을 먼저 사용해 보는 것이 좋습니다. traefik/whoami이 함수는 요청에 대한 정보를 반환합니다. 이를 통해 Traefik이 올바르게 구성되었는지, 라우팅 규칙이 제대로 작동하는지 확인할 수 있습니다.

Un docker-compose.yml 기본 사항에는 서비스가 포함될 수 있습니다. traefik 이미지와 함께 traefik:v3.4Docker 소켓을 마운트하고 부팅 플래그를 다음과 같이 정의합니다. --providers.docker=true, --providers.docker.exposedbydefault=false, --providers.docker.network=proxy 그리고 진입점 --entryPoints.web.address=:80호스트에서 80번 포트와 8080번 포트가 활성화되어 네트워크가 생성됩니다. proxy 컨테이너를 사용할 것입니다. whoami.

서비스 whoami 동일한 네트워크에서 시작되며 다음과 같이 표시됩니다. traefik.enable=true그런 다음 레이블이 지정된 라우터가 정의됩니다. traefik.http.routers.whoami.rule=Host(`whoami.docker.localhost`) 그리고 진입점이 다음과 같이 표시됩니다. web만약 당신이 다음과 같은 요청을 한다면 curl -H "Host: whoami.docker.localhost" http://localhost/응답을 받으면 호스트 이름, IP 주소, 헤더 등이 표시되며, 이를 통해 Traefik이 올바르게 라우팅하고 있음을 확인할 수 있습니다.

그 다음부터는 간단합니다. 경로를 통한 라우팅 추가예를 들어, 다른 서비스를 생성할 수 있습니다. whoami-api 동일한 이미지를 동일한 네트워크에서 사용하고, 다음과 같은 유형의 규칙으로 태그를 지정합니다. Host(`whoami.docker.localhost`) && PathPrefix(`/api`)따라서 뿌리는 / 이동 whoami 원본과 요청 사항 /api 그들에게 봉사할 것입니다 whoami-api요청을 통해 이를 확인할 수 있습니다. / 이미 /api 동일한 호스트와 함께.

활성화하려면 TLS 이러한 로컬 환경에서는 도메인에 대한 자체 서명 인증서를 생성하는 것이 한 가지 방법입니다. *.docker.localhost 와 openssl디렉토리를 생성합니다 certs, 당신은 생성 local.key y local.crt그런 다음 동적 파일을 추가합니다(예: dynamic/tls.yml) 섹션과 함께 tls: 그리고 경로 certFile y keyFile 해당 파일들을 가리키고 있습니다.

다음으로 Traefik 서비스 정의를 업데이트합니다. docker-compose.yml 폴더를 마운트하려면 ./certs 그리고 폴더 ./dynamic 컨테이너 내부에서 보안 API를 활성화하려면 다음을 사용합니다. --api.dashboard=true진입점을 생성합니다. websecure (--entryPoints.websecure.address=:443) 그리고 거기에서 TLS를 활성화합니다. --entryPoints.websecure.http.tls=true또한 대시보드 라우터와 라우터에 레이블을 지정합니다. whoami 그들이 사용할 수 있도록 websecure 그리고 가지고 tls=true.

설치가 완료되면 접속할 수 있습니다. https://whoami.docker.localhost/ 그리고 자체 서명된 인증서를 사용하여 Traefik 패널에 접속하고 브라우저의 보안 경고를 수락합니다. 이 과정은 나중에 Let's Encrypt를 사용하여 실제 운영 환경에서 경험하게 될 것과 매우 유사하지만, 공용 DNS 서버에 의존하지 않는다는 점이 다릅니다.

모범 사례, 앱 배포 및 일반적인 문제 해결

이 모든 예시에서 반복되는 한 가지 패턴은 다음과 같습니다. Traefik은 새로운 애플리케이션 배포를 크게 간소화합니다.기본 스택(Traefik + Portainer + 네트워크)을 구축했으면 다음 단계로 진행하세요. proxy (인증서를 포함하여) 새 서비스를 추가하는 과정은 일반적으로 다음과 같습니다.

프로젝트를 복제하거나 복사하세요. docker-compose.yml 서버에 연결하려면 서브도메인을 호스트의 IP 주소로 지정해야 합니다. 기록 A DNS에서 (예시) app.tudominio.com), 그런 다음 서비스에 키 레이블을 추가합니다. traefik.enable=true, traefik.docker.network=proxy 그리고 해당 서브도메인에 대한 호스트 규칙이 있는 라우터에서 보안 진입점을 지정합니다. websecure 과 올바른 내부 포트를 사용한 서비스.

많은 튜토리얼에서는 예를 들어 간단한 앱을 배포하는 방법을 보여줍니다. FastAPI 분리됨: 네 개의 레이블이 추가되어 네트워크에 연결됩니다. proxy 섹션에서 networks 델 docker-compose.yml그리고 나서 docker compose up -d 이 앱은 TLS가 활성화된 상태로 Traefik 대시보드에 자동으로 나타납니다. Traefik의 자동 검색 기능 덕분에 고정 설정을 조정할 필요조차 없습니다.

모든 일이 순조롭게 진행되도록 하려면 몇 가지 세부 사항에 주의를 기울이는 것이 중요합니다. 라우터 식별자를 재사용하지 마십시오. 다양한 앱에서 각 라우터에 하나의 서비스만 연결되어 있는지 확인하고("서비스가 너무 많습니다" 오류 방지), 일관된 네트워크 이름을 사용하십시오(예: proxy 노출하려는 모든 스택에 대해, 그리고 Let's Encrypt를 사용하는 경우 다음 사항을 확인하세요. acme.json 권한이 600이고 설정된 이메일이 유효합니다.

Swarm 환경에서는 Traefik 구성에 Docker 공급자가 포함되어 있는지 확인하십시오. swarmMode=true y watch=true그리고 서비스의 제약 조건(예를 들어) node.role == manager (Portainer의 경우) Traefik이 배포된 위치와 충돌하지 않습니다. 디버그 로그는 매우 자세하지만 라우팅 또는 TLS 문제를 찾는 데 매우 중요합니다.

Docker, Traefik, Portainer를 결합하면 그래픽 대시보드, 자동 인증서 생성, 매우 빠른 배포 흐름을 갖춘 완벽하고 가벼운 오케스트레이션 환경을 단일 서버에서 구축할 수 있습니다. 서비스를 추가, 업데이트 또는 제거하는 작업은 YAML 코드 몇 줄만 수정하면 되고, Traefik이 리버스 프록싱 및 TLS 관련 작업을 처리합니다.