Kaip integruoti „Docker“, „Traefik“ ir „Portainer“ į visą paketą

Informatec Digital » Ištekliai » Kaip integruoti „Docker“, „Traefik“ ir „Portainer“ į visą paketą

Šiuo metu vienas iš paprasčiausių būdų valdyti konteinerius viename serveryje ir teikti kelias paslaugas naudojant HTTPS, neužsikimšant konfigūracijoje, yra sukurti modernų serverį naudojant „Docker“, „Traefik“ ir „Portainer“. Šio metodo privalumas yra tas, kad „Traefik“ veikia kaip dinaminis atvirkštinis tarpinis serveris, o „Portainer“ suteikia labai paprastą žiniatinklio sąsają „Docker“ ir, jei norite, „Swarm“ valdymui.

Šiame straipsnyje pamatysite, kaip Traefik pritaikymas kaip atvirkštinis proxy prieš Portainer Tiek „klasikiniame“ „Docker“ (atskirame) scenarijuje, tiek „Docker Swarm“ klasteryje, kaip integruoti TLS (savarankiškai pasirašytą arba „Let's Encrypt“) ir kokie konfigūracijos failai yra svarbūs (traefik.yml, dynamic.yml y docker-compose.yml) ir keletą įprastų gudrybių su tarpine programine įranga, tinklais ir tipinėmis žymėjimo problemomis „Traefik“.

Kokį vaidmenį architektūroje atlieka Dockeris, Traefik ir Portainer?

Šio tipo sąrankoje „Docker“ yra bazinis sluoksnis, kuriame veikia konteineriai, „Traefik“ veikia kaip atvirkštinis tarpinis serveris ir apkrovos balansavimo priemonė , kuri gauna visas HTTP/HTTPS užklausas 80 ir 443 prievaduose ir siunčia jas į atitinkamą konteinerį, o „Portainer“ teikia grafinę sąsają vaizdams, konteineriams, tomams, tinklams ir „Docker“ arba „Swarm“ paketams valdyti.

Idėja yra turėti vieną pagrindinį kompiuterį su „Docker“, kur „Traefik“ yra prie „vartų“klausykitės įėjimo taškuose web (80), y websecure (443), išsprendžia TLS sertifikatų problemas (dažniausiai naudojant „Let's Encrypt“) ir, integracijos su „Docker“ teikėju dėka, automatiškai aptinka jūsų teikiamas paslaugas, pridėdamas etiketes prie konteinerių.

Kita vertus, Portainer veikia kaip eilinis konteineris, bet atviras per konkretus subdomenas, pavyzdžiui portainer.tudominio.com, apsaugotas TLS ir, jei pageidaujama, už papildomos autentifikavimo tarpinės programinės įrangos, esančios už paties „Portainer“ prisijungimo ribų. Visa tai suderinta su dockerio rašymas kuris apibrėžia Traefiką, Portainerį ir įprastą tipų tinklą proxy.

Akivaizdus šio metodo privalumas yra tas, kad galite diegti naujas paslaugas tiesiog pridėdami etiketes prie savo konteinerių: „Traefik“ aptinka „Docker“ pakeitimus, akimirksniu sukuria maršrutizatorius, paslaugas ir tarpinę programinę įrangą, ir per kelias sekundes turite naują subdomeną arba maršrutą, kuris veikia rankiniu būdu neliečiant statinių konfigūracijos failų.

„Traefik“ statinė konfigūracija: traefik.yml

„Traefik“ statinė konfigūracija paprastai saugoma tokiame faile kaip traefik.ymlkuris yra sumontuotas konteinerio viduje. Čia jis apibrėžiamas prietaisų skydelis, įėjimo taškai, teikėjai ir sertifikatų interpretatorius Be kita ko, užšifruokime.

Įprasta YAML konfigūracija pradedama aktyvuojant API ir valdymo skydelį tokiu būdu: api: dashboard: trueTai suteikia prieigą prie žiniatinklio sąsajos, kurioje galite peržiūrėti maršrutizatorius, paslaugas ir tarpinę programinę įrangą. Šis skydelis pagal numatytuosius nustatymus nėra autentifikuotas, todėl vėliau pamatysime, kaip jį apsaugoti naudojant pagrindinį autentifikavimą iš dinaminės konfigūracijos.

Toliau apibrėžiami įėjimo taškai. Paprastai jų yra įėjimo taškas web 80 uoste ir kita websecure 443. At web Automatinis peradresavimas paprastai sukonfigūruotas taip, kad websecurekad bet kokia HTTP prieiga būtų nukreipta į HTTPS:

Įprastoje santraukoje būtų skyrius http.redirections.entryPoint.to: websecure priverstinai nukreipti ir centralizuoti visą užšifruotą srautą saugiame įėjimo taške.

į websecure Nurodoma, kad reikia naudoti TLS, ir pateikiama nuoroda. sertifikatų sprendėjas (pvz letsencrypt), kuris bus atsakingas už automatinį sertifikatų valdymą. Visa tai palaiko acme, tai protokolas, kurį „Let's Encrypt“ naudoja sertifikatams išduoti ir atnaujinti.

Bloke teikėjai „Docker“ tiekėjas sukonfigūruotas, nukreiptas į lizdą unix:///var/run/docker.socksu vienu pagrindiniu pasirinkimu: exposedByDefault: falseTodėl „Traefik“ pagal numatytuosius nustatymus neskelbia visų konteinerių; tik tuos, kurie turi etiketę traefik.enable=trueTaip pat galite konfigūruoti failų teikėją (file) norint įkelti papildomą dinaminę konfigūraciją, pavyzdžiui, iš /configurations/dynamic.yml.

Galiausiai, statiniame faile paprastai yra skyrius certificatesResolverskur apibrėžtas ACME sprendiklis: registracijos el. pašto adresas, saugojimo failas (paprastai acme.json), rakto tipas (pavyzdžiui EC384) ir patvirtinimo metodą (pavyzdžiui, httpChallenge įėjimo taške webSvarbu, kad susikurkite tikrą el. pašto adresą šiame skyriuje, nes „Let's Encrypt“ jį naudoja pranešimams ir atnaujinimams; jei paliksite fiktyvią arba netinkamai suformuotą reikšmę, paleidžiant „Traefik“ konteinerį gali kilti klaidų.

Be šios YAML konfigūracijos, yra ir diegimų, kurie naudoja TOML formatas (traefik.toml)Tačiau logika ta pati: jie skiria sekcijų sprendimo sertifikatus (pavyzdžiui [certificatesResolvers.main.acme]), apibrėžti iššūkius (pvz., dnsChallenge su provider = "route53") ir pridėkite numatytąsias TLS parinktis, pvz., jėga minVersion = "VersionTLS13" arba sukonfigūruokite sąrašą cipherSuites leidžiama.

Dinaminė konfigūracija: tarpinė programinė įranga, TLS ir saugumas

Dinaminė „Traefik“ dalis paprastai patenka į failą, pvz. dynamic.yml, įkeltas failo teikėjo. Čia jūs apibrėžiate tarpinės programinės įrangos ir TLS parinktys kurį galima modifikuoti neperkraunant „Traefik“ konteinerio, o tai labai naudinga norint greitai reguliuoti saugumą.

Tipiškas atvejis yra, pavyzdžiui, antraštės tarpinės programinės įrangos kūrimas. secureHeaderskuri prideda su HSTS susijusias politikas ir privalomą HTTPS naudojimą. YAML galite rasti tokių parametrų kaip sslRedirect: true, forceSTSHeader: true, stsIncludeSubdomains: true, stsPreload: true ir stsSeconds aukštas (pavyzdžiui, metai sekundėmis). Tai sustiprina srauto saugumą naršyklės pusėje.

Kita įprasta tarpinė programinė įranga yra skirta pagrindinei autentifikacijai, pavyzdžiui user-auth tipo basicAuth, kur vartotojų sąrašas deklaruojamas formatu usuario:hashMaišos kodas paprastai generuojamas su htpasswd ir yra įterpta į failą. Ši tarpinė programinė įranga paprastai yra susieta su „Traefik“ prietaisų skydelio maršrutizatoriumi, todėl, be HTTPS prieigos, jai reikalingas vartotojo vardas ir slaptažodis.

Toje pačioje dinaminėje konfigūracijoje įprasta matyti bloką tls.options su numatytuoju profiliu (default), kur nustatyti palaikomi šifrai ir minimali TLS versija, pavyzdžiui VersionTLS12Kai kuriuose diegimuose apibrėžiamos kelios parinktys (pavyzdžiui, profilis, vadinamas tls12 ir kita default) prireikus pritaikyti saugumo lygį skirtingoms paslaugoms.

Aplinkose, kuriose pageidaujama naudoti TLS taip pat viduje Tarp „Traefik“ ir serverio paslaugų (pvz., „Portainer“) gali kilti problemų, jei šios paslaugos neturi viešosios CA pripažinto sertifikato. Būtent čia ir praverčia ši parinktis. insecureSkipVerify, kuris, sukonfigūruotas pagal providers.http.tls arba atitinkamose TLS parinktyse tai leidžia „Traefik“ apeiti vidinio sertifikato patvirtinimą. Tai naudinga laboratorinėms aplinkoms arba vidiniams savarankiškai pasirašytiems sertifikatams, tačiau tai turėtų būti naudojama atsargiai, nes tai sušvelnina patvirtinimą.

Praktinė detalė: byla dynamic.yml Jį galima redaguoti akimirksniu.„Traefik“ iš naujo įkelia dinaminę konfigūraciją nereikalaudama perkrovimo, todėl galite pridėti arba pašalinti tarpinę programinę įrangą, keisti saugos antraštes arba modifikuoti pagrindinį autentifikavimą nepaveikdami tarpinio serverio prieinamumo.

„Docker“ komponavimas su „Traefik“ ir „Portainer“ atskiroje „Docker“ aplinkoje

„Docker“ scenarijuje be „Swarm“ dažniausiai reikia paleisti Traefik ir Portainer su vienu docker-compose.yml kuris apibrėžia ir paslaugas, ir bendrą tilto tipo tinklą, vadinamą, pavyzdžiui, proxy.

Tarnyba Traefik Paprastai naudojamas oficialus vaizdas, pavyzdžiui traefik:latest arba konkreti versija, pvz. traefik:v3.4Uostai yra pažymėti žemėlapyje. 80 ir 443 žiniatinklio srautui ir, kai kuriais atvejais, 8080 prievadą, kad būtų galima pasiekti valdymo skydelį viduje. Be to, pridedama parinktis restart: unless-stopped ir saugumas sustiprinamas security_opt: - no-new-privileges:true siekiant sumažinti privilegijų eskalavimo riziką konteineryje.

Kalbant apie tomus, „Traefik“ turi prijungti tik skaitymui skirtą „Docker“ lizdą (/var/run/docker.sock:/var/run/docker.sock:ro) norint atrasti konteinerius, statinį failą traefik.yml ir katalogą, kuriame bus išsaugota dinaminė konfigūracija (./traefik-data/configurations:/configurationsFailas taip pat sumontuotas. acme.jsonČia „Traefik“ saugo „Let's Encrypt“ išduotus sertifikatus. Šis failas sukuriamas pagrindiniame kompiuteryje ir jam suteikiamos teisės. 600 kad tik atitinkamas naudotojas galėtų jį skaityti ir rašyti; jei paliekate su 644, Traefik paprastai skundžiasi.

Traefik'o magijos raktas yra aptarnavimo etiketėsBe kita ko, rasite: traefik.enable=true (kad „Docker“ teikėjas atskleistų šią paslaugą), traefik.docker.network=proxy (nurodo, kurį tinklą „Traefik“ turėtų naudoti bendraudamas su konteineriu) ir maršrutizatorių, pvz. traefik.http.routers.traefik-secure, su etiketėmis, kurios apibrėžia jo įėjimo tašką (websecure), priimančiosios taisyklė (pavyzdžiui, Host(`traefik.tudominio.com`)), susijusi paslauga (api@internal) ir autentifikavimo tarpinės programinės įrangos (user-auth@file).

Paslauga Portaineris tuo pačiu docker-compose.yml paprastai naudoja portainer/portainer-ce:latest (arba „Enterprise“ leidimą, jei turite licenciją). Panašūs tomai yra prijungiami: „Docker“ lizdas, duomenų aplankas (./portainer-data:/data) ir dažnai taip pat ir /etc/localtime kad jis paveldėtų pagrindinio kompiuterio laiko juostą.

„Portainer“ etiketės tai užregistruoja „Traefik“: traefik.enable=true, traefik.docker.network=proxytipo maršrutizatorius traefik.http.routers.portainer-secure su įėjimo tašku websecure ir priimančiosios taisyklė, pvz. Host(`portainer.tudominio.com`)Be to, apibrėžiama paslauga, kurią turėtų naudoti „Traefik“, nurodant į vidinį „Portainer“ prievadą, pavyzdžiui, su traefik.http.services.portainer.loadbalancer.server.port=9000.

Visa tai vykstant, po paleidimo docker compose up -d Stack kataloge „Traefik“ atsisiunčia vaizdus ir sukuria tinklą. proxy Jei jis deklaruojamas kaip išorinis ir rodo abu skydelius sukonfigūruotuose subdomenuose, su Automatinis HTTPS dėka „Let's Encrypt“Nuo to momento naujų paslaugų pridėjimas yra projekto klonavimo, kelių „Traefik“ etikečių pridėjimo ir prijungimo prie tinklo klausimas. proxy.

„Docker Swarm“ scenarijus: „Portainer“ ir „Traefik“ klasteryje

Aktyvavus „Docker Swarm“, viskas šiek tiek pasikeičia, nes paslaugos diegiamos kaip stekai, o tinklai paprastai yra pagrįsti perdangomis. Tačiau pagrindinė „Traefik“ ir „Portainer“ logika yra labai panaši: „Traefik“ ir toliau veikia kaip atvirkštinis tarpinis serveris ir dinaminis paslaugų aptikimo įrankis, o „Portainer“ gali veikti tiek atskiru režimu, tiek „Portainer + agento“ režimu , kad valdytų nuotolinius mazgus klasteryje.

Įprastame „Swarm“ diegime stekas sukuriamas prieš jį pritaikant. du perdengimo tinklai kurį „Traefik“ naudos srautui tarp mazgų nukreipti. Be to, sukuriamas tomas, skirtas „Portainer“ duomenims išsaugoti (pavyzdžiui). portainer_data) ir, jei reikia, vieną acme.json arba katalogą, kuriame „Traefik“ saugo sertifikatus ir konfigūraciją.

El docker-compose.yml (kuris tada atsiskleidžia su docker stack deploy naudojant, pavyzdžiui, -c portainer.yml) paprastai apibrėžia dvi paslaugas: Nešiotojo agentas, kuris veikia režimu global visuose „Linux“ mazguose ir pagrindinėje „Portainer“ paslaugoje („CE“ arba „EE“), kuri paprastai veikia replikuotu režimu su apribojimu veikti tik tvarkyklėse.

„Portainer“ agentas prijungia „Docker“ lizdą ir tomo katalogą (/var/lib/docker/volumes), kad galėtų tikrinti išteklius. Pavyzdžiui, jis prisijungia prie perdangos tinklo, kurį bendrins su „Traefik“. traefik_publicPagrindinę „Portainer“ paslaugą galima sukonfigūruoti taip, kad ji bendrautų su agentu per TCP (tcp://tasks.agent:9001) ir iš tiesų kai kuriuose pavyzdžiuose ta komanda rodoma su --tlsskipverify pakomentavo, kad prireikus praleistų TLS patvirtinimą.

Tame pačiame ar kitame steke „Traefik“ paleidžiamas su „Docker“ teikėju „Swarm“ režimu (swarmMode = true TOML arba lygiavertė parinktis vėliavėlėse), stebint pažymėtas paslaugas. Jo konfigūracija apima certificatesResolvers.main.acme skirta „Let's Encrypt“ dnsChallenge su tiekėju, pvz. 53 maršrutas Jei norite patvirtinti sertifikatus naudodami DNS ir bloką tls.options kur, pavyzdžiui, yra priverstas minVersion = "VersionTLS13" numatytajam profiliui ir yra apibrėžtas aiškus sąrašas cipherSuites TLS 1.2 profiliui.

„Portainer“ įrašų kompanijos „Swarm“ vadovaujasi ta pačia filosofija: traefik.enable=truemaršrutizatorius, pvz. traefik.http.routers.portainer su Host(`portainer.midominio.com`), traefik.http.routers.portainer.entrypoints=https (o websecure (pagal pavadinimą) ir traefik.http.routers.portainer.tls=true kad įjungtumėte TLS tame maršrutizatoriuje. Be to, galite nurodyti certresolver su traefik.http.routers.portainer.tls.certresolver=main ir vidinės sistemos schema, jei paslauga viduje kalba HTTPS su traefik.http.services.portainer.loadbalancer.server.scheme=https.

„Swarm“ „Traefik“ derinimo žurnaluose matysite sugeneruotą konfigūraciją: maršrutizatoriai, tokie kaip api y portainer, atrastos paslaugos (pavyzdžiui, portainer en http://10.0.1.12:9000 ir paslauga traefik (nukreipia į prietaisų skydelio 8080 prievadą), o jei kyla problemų dėl prastai apibrėžtų etikečių, rodomi tokie pranešimai kaip „Nepavyko apibrėžti maršrutizatoriaus paslaugos pavadinimo: per daug paslaugų“kurie paprastai rodo, kad yra su maršrutizatoriumi susijusių paslaugų konfliktas arba dubliavimas.

Minimalus pavyzdys: whoami, maršrutai ir TLS su Traefik

Prieš įtraukiant „Portainer“ į lygtį, gana praktiška išbandyti „Traefik“ su labai paprasta sąsaja, pavyzdžiui, paveikslėliu. traefik/whoamikuri grąžina informaciją apie užklausą. Tai padeda patikrinti, ar „Traefik“ yra tinkamai sukonfigūruotas ir ar veikia maršruto parinkimo taisyklės.

Un docker-compose.yml pagrindinis gali apimti paslaugą traefik su paveikslėliu traefik:v3.4, prijungiant „Docker“ lizdą ir apibrėžiant įkrovos vėliavėles kaip --providers.docker=true, --providers.docker.exposedbydefault=false, --providers.docker.network=proxy ir įėjimo taškas --entryPoints.web.address=:80Pagrindiniame kompiuteryje reklamuojami 80 ir 8080 prievadai ir sukuriamas tinklas. proxy kuris taip pat naudos konteinerį whoami.

Tarnyba whoami Jis prasideda tame pačiame tinkle ir yra pažymėtas traefik.enable=trueTada maršrutizatorius apibrėžiamas su žyme traefik.http.routers.whoami.rule=Host(`whoami.docker.localhost`) ir nurodoma, kad jūsų įėjimo taškas yra webJei pateikiate prašymą su curl -H "Host: whoami.docker.localhost" http://localhost/Pamatysite atsakymą su pagrindinio kompiuterio pavadinimu, IP adresais, antraštėmis ir pan., kuris patvirtina, kad „Traefik“ maršrutizuoja teisingai.

Nuo tada viskas paprasta pridėti maršrutą pagal keliusPavyzdžiui, galite sukurti kitą paslaugą. whoami-api su tuo pačiu atvaizdu, tame pačiame tinkle ir pažymėkite jį taisykle, kurios tipas yra Host(`whoami.docker.localhost`) && PathPrefix(`/api`)Taigi, šaknis / eiti į whoami originalas ir prašymai /api jiems tarnaus whoami-apiTai galite patikrinti pateikdami užklausas / jau /api su tuo pačiu šeimininku.

Norėdami suaktyvinti TLS Šioje vietinėje aplinkoje viena iš galimybių yra sugeneruoti savarankiškai pasirašytą domeno sertifikatą. *.docker.localhost su opensslJūs sukuriate katalogą certs, jūs generuojate local.key y local.crt, o tada pridedate dinaminį failą (pvz., dynamic/tls.yml) su sekcija tls: ir maršrutai certFile y keyFile rodydamas į tuos failus.

Toliau atnaujinate „Traefik“ paslaugos apibrėžimą docker-compose.yml prijungti aplanką ./certs ir aplankas ./dynamic konteinerio viduje aktyvuojate saugią API su --api.dashboard=true, jūs sukuriate įėjimo tašką websecure (--entryPoints.websecure.address=:443) ir įjunkite TLS ten su --entryPoints.websecure.http.tls=trueTaip pat pažymite prietaisų skydelio maršrutizatorių ir maršrutizatorius whoami kad jie galėtų naudoti websecure ir turi tls=true.

Kai jis bus įjungtas, galėsite pasiekti https://whoami.docker.localhost/ ir į „Traefik“ skydelį su savarankiškai pasirašytu sertifikatu, priimant naršyklės saugumo įspėjimą. Ši patirtis labai panaši į tą, kurią vėliau turėsite gamybinėje aplinkoje su „Let's Encrypt“, tačiau nenaudojant viešųjų DNS serverių.

Geriausia praktika, programų diegimas ir tipinių problemų sprendimas

Visuose šiuose pavyzdžiuose kartojamas vienas modelis yra tas, kad „Traefik“ labai supaprastina naujų programų diegimąKai turėsite bazinį paketą (Traefik + Portainer + tinklas) proxy (+ sertifikatai), naujos paslaugos pridėjimas paprastai reiškia:

Klonuokite projektą arba nukopijuokite savo docker-compose.yml į serverį, nukreipkite subdomeną į pagrindinio kompiuterio IP adresą naudodami įrašas A jūsų DNS (pvz., app.tudominio.com), o tada pridėkite pagrindines etiketes prie paslaugos: traefik.enable=true, traefik.docker.network=proxy ir maršrutizatorius su to subdomeno pagrindinio kompiuterio taisykle, nurodančia saugų įėjimo tašką websecure ir paslauga su teisingu vidiniu prievadu.

Daugelyje mokomųjų vaizdo įrašų būtų parodytas, pavyzdžiui, mažos programėlės diegimas. FastAPI Atskirtas: pridedamos keturios etiketės, užtikrinančios prisijungimą prie tinklo proxy skyriuje networks del docker-compose.ymlir po to, kai padariau docker compose up -d Programa automatiškai rodoma „Traefik“ prietaisų skydelyje su įjungtu TLS. „Traefik“ automatinis aptikimas reiškia, kad jums net nereikia koreguoti jos statinių nustatymų.

Kad viskas vyktų sklandžiai, svarbu atkreipti dėmesį į keletą detalių: Nenaudokite to paties maršrutizatoriaus identifikatoriaus pakartotinai Įvairiose programėlėse patikrinkite, ar su kiekvienu maršrutizatoriumi susieta tik viena paslauga (venkite klaidos „per daug paslaugų“), naudokite nuoseklius tinklo pavadinimus (pvz., proxy visuose stekuose, kuriuos norite atskleisti), ir, jei naudojate „Let's Encrypt“, įsitikinkite, kad acme.json Jis turi 600 teises ir sukonfigūruotas el. pašto adresas galioja.

„Swarm“ aplinkose taip pat patikrinkite, ar „Traefik“ konfigūracijoje yra „Docker“ teikėjas. swarmMode=true y watch=trueir kad paslaugų apribojimai (pvz., node.role == manager (skirta „Portainer“) nekonfliktuoja su „Traefik“ diegimo vieta. Derinimo žurnalai yra labai išsamūs, tačiau yra labai svarbūs nustatant maršruto parinkimo ar TLS problemas.

Sujungę „Docker“, „Traefik“ ir „Portainer“, galite sukurti visavertę lengvą orkestravimo aplinką viename serveryje su grafiniais ataskaitų suvestinėmis, automatiniais sertifikatais ir labai greitu diegimo srautu, kur paslaugų pridėjimas, atnaujinimas ar pašalinimas sumažinamas iki kelių YAML eilučių pakeitimo ir leidžia „Traefik“ atlikti purviną atvirkštinio tarpinio serverio ir TLS darbą.