Traefik V3 Installation, Konfiguration und CrowdSec-Security

Authelia Integration in Traefik-Crowdsec-Stack (Traefik3)

Anlegen von Verzeichnissen. 

mkdir -p /opt/containers/traefik-crowdsec-stack/data/authelia/config
mkidr -p /root/secrets/authelia
chmod 644 /root/secrets/authelia

Erstellen der Secrets

tr -cd '[:alnum:]' </dev/urandom | fold -w "64" | head -n 1 | tr -d '\n' | sudo tee /root/secrets/authelia/authelia_jwt_secret
tr -cd '[:alnum:]' </dev/urandom | fold -w "64" | head -n 1 | tr -d '\n' | sudo tee /root/secrets/authelia/authelia_storage_encryption_key
tr -cd '[:alnum:]' </dev/urandom | fold -w "64" | head -n 1 | tr -d '\n' | sudo tee /root/secrets/authelia/authelia_session_secret

Das Secret authelia_notifier_smtp_password enthält euch Password zum Email Account wenn Ihr SMTP Notifications nutzen wollt. 
Wenn ihr File Notifications nutzen wollte dann lasst dies bitte weg.

Ergänzen der docker-compose.yml

—

include:
 ...
 - compose/authelia.yml

—

Erstellen der .env File in /opt/containers/traefik-crowdsec-stack/data/authelia/
Legt hier bitte eine .env File mit folgendem Inhalt an.

—

SECRETDIR=/root/secrets
TZ=$TZ
# Rest ist optional, wenn ihr hier was anpassen wollt. 
# Da ich lieber Feste IP Adressen einsetze auch bei Docker werden diese hier bei mir festgelegt.
# Damit ich keine vergesse, wird das in der authelia.yml noch mal wiederholt.
# Wenn ihr das nicht wollt dann lasst es einfach weg.
SERVICES_AUTHELIA_HOSTNAME=authelia
SERVICES_TRAEFIK_LABELS_AUTHELIA_HOST=HOST(your.domain.tld) 
SERVICES_AUTHELIA_NETWORKS_PROXY_IPV4=172.31.191.200
SERVICES_AUTHELIA_NETWORKS_PROXY_IPV6=fd00:1:be:a:7001:0:3e:7f00
SERVICES_AUTHELIA_NETWORKS_SOCKET_PROXY_IPV4=172.31.255.200
SERVICES_AUTHELIA_NETWORKS_SOCKET_PROXY_IPV6=fd00:1:be:a:7001:0:3e:8f00

—

Erstellen authelia.yml im compose Verzeichnis.
nano /opt/containers/traefik-crowdsec-stack/compose/authelia.yml

—

services:
 authelia:
  container_name: 'authelia'
  depends_on:
   traefik:
    condition: service_healthy
  hostname: ${SERVICES_AUTHELIA_HOSTNAME:-authelia}
  image: 'docker.io/authelia/authelia:latest'
  restart: 'unless-stopped'
  env_file: ${ABSOLUTE_PATH}/data/authelia/.env
  networks:
   proxy:
    ipv4_address: ${SERVICES_AUTHELIA_NETWORKS_PROXY_IPV4:-172.31.191.200}
    ipv6_address: ${SERVICES_AUTHELIA_NETWORKS_PROXY_IPV6:-fd00:1:be:a:7001:0:3e:7f00}
   socket_proxy:
    ipv4_address: ${SERVICES_AUTHELIA_NETWORKS_SOCKET_PROXY_IPV4:-172.31.255.200}
    ipv6_address: ${SERVICES_AUTHELIA_NETWORKS_SOCKET_PROXY_IPV6:-fd00:1:be:a:7001:0:3e:8f00}
  volumes:
   - /etc/localtime:/etc/localtime:ro
   - ${ABSOLUTE_PATH}/data/authelia/config:/config
  secrets: ['JWT_SECRET', 'SESSION_SECRET', 'STORAGE_ENCRYPTION_KEY', 'NOTIFIER_SMTP_PASSWORD']
  environment:
   AUTHELIA_IDENTITY_VALIDATION_RESET_PASSWORD_JWT_SECRET_FILE: '/run/secrets/JWT_SECRET'
   AUTHELIA_SESSION_SECRET_FILE: '/run/secrets/SESSION_SECRET'
   AUTHELIA_STORAGE_ENCRYPTION_KEY_FILE: '/run/secrets/STORAGE_ENCRYPTION_KEY'
   AUTHELIA_NOTIFIER_SMTP_PASSWORD_FILE: '/run/secrets/NOTIFIER_SMTP_PASSWORD'
  labels:
   traefik.enable: true
   traefik.http.routers.authelia.rule: HOST(auth.domain.tld)
   traefik.http.routers.authelia.entryPoints: websecure
   traefik.http.routers.authelia.tls: true
   traefik.http.routers.authelia.tls.certresolver: tls_resolver
   traefik.http.services.authelia.loadbalancer.server.port: 9091
   traefik.http.middlewares.authelia.forwardAuth.address: https://authelia:9091/api/authz/forward-auth
   traefik.http.routers.authelia.middlewares: default@file
   traefik.http.routers.authelia.service: authelia
  security_opt:
   - no-new-privileges:true
secrets:
 JWT_SECRET:
  file: ${SECRETDIR}/authelia/authelia_jwt_secret
 SESSION_SECRET:
  file: ${SECRETDIR}/authelia/authelia_session_secret
 STORAGE_ENCRYPTION_KEY:
  file: ${SECRETDIR}/authelia/authelia_storage_encryption_key
 NOTIFIER_SMTP_PASSWORD:
  file: ${SECRETDIR}/authelia/authelia_notifier_smtp_password

…

Erzeugen Traefik Middelware Yml für Authelia.
Erzeugt im Verzeichnis /opt/containers/traefik-crowdsec-stack/data/traefik/dynamic_conf
eine Datei http.middlewares.middlewares-authelia.yml mit folgendem Inhalt.

—

http:
 middlewares:
  middlewares-authelia:
   forwardAuth:
    address: "http://authelia:9091/api/verify?rd=https://auth.domain.tld"
    trustForwardHeader: true
    authResponseHeaders:
     - "Remote-User"
     - "Remote-Groups"

—

Erzeugen der Authelia Configuration in /opt/containers/traefik-crowdsec-stack/data/authelia/config
mit nano /opt/containers/traefik-crowdsec-stack/data/authelia/config/configuration.yml die entsprechende Datei erstellen.

Inhalt:

—

###############################################################
#          Authelia configuration          #
###############################################################

theme: dark
identity_validation:
 reset_password:
  # Wird durch das Secret gesetzt
  jwt_secret: 

server:
 address: tcp://0.0.0.0:9091/

# https://www.authelia.com/configuration/miscellaneous/logging/
log:
 level: error
 format: json
 file_path: /config/authelia.log
 keep_stdout: true

# https://www.authelia.com/configuration/second-factor/time-based-one-time-password/
totp:
 issuer: domain.tld 
 period: 30
 skew: 1

# https://www.authelia.com/reference/guides/passwords/
authentication_backend:
 password_reset:
  disable: false
 refresh_interval: 5m
 file:
  path: /config/users.yml
  password:
   algorithm: argon2id
   iterations: 1
   salt_length: 16
   parallelism: 8
   memory: 256

# https://www.authelia.com/overview/authorization/access-control/
access_control:
 default_policy: deny
 rules:
  - domain: 'auth.domain.tld' # Hier deine Authelia Domain einsetzen.
   policy: bypass
   networks: # Optional
    - 10.0.0.0/8
    - 192.168.0.0/16
    - 172.16.0.0/12
  - domain:
    - "*.domain.tld" # Wildcard Adresse für Domain optional
    - "traefik.domain.tld" # Hier deine Traefik Domain einsetzen.
    - "domain.tld" # Hier deine Domain einsetzen.
   policy: two_factor

# https://www.authelia.com/configuration/session/introduction/

session:
 name: authelia_session
 same_site: lax
 secret: 
 expiration: 5h
 inactivity: 15m
 remember_me: 10M
 cookies:
  - domain: 'domain.tld'
   authelia_url: https://auth.domain.tld # Authelia URL
   default_redirection_url: https://auth.domain.tld/ # Default Redirect URL

# https://www.authelia.com/configuration/security/regulation/
regulation:
 max_retries: 3
 find_time: 10m
 ban_time: 12h
  
# https://www.authelia.com/configuration/storage/introduction/
storage:
 # For local storage, uncomment lines below and comment out mysql. https://docs.authelia.com/configuration/storage/sqlite.html
 # This is good for the beginning. If you have a busy site then switch to other databases.
 local:
  path: '/config/db.sqlite3'
 # Wird durch Secret gesetzt
 encryption_key:

# https://www.authelia.com/configuration/notifications/introduction/
notifier:
 disable_startup_check: false
 # For testing purposes, notifications can be sent in a file. Be sure to map the volume in docker-compose.
 filesystem:
  filename: '/config/notification.txt'
# SMTP nur aktivieren wenn es sicher funktioniert bei euch 
#notifier:
# disable_startup_check: false
# smtp:
#  username: 'admin@domain.tld' # Username für deinen Mailserver
#  password: 'Sicheres Password' # alternativ Secret anlegen AUTHELIA_NOTIFIER_SMTP_PASSWORD_FILE
#  address: 'smtp://mail.domain.tld:587'
#  sender: 'Authelia Notifier <admin@domain.tld>'
#  subject: "[Notification domain.tld] {titel}"
#  startup_check_address: 'test@domain.tld'
#  disable_starttls: false
#  disable_html_emails: false
#  disable_require_tls: false

—

Mit diesem Befehl erzeugt ihr den Hash für Euren User:

docker run -v /opt/containers/authelia/compose/config/configuration.yml:/configuration.yml -it authelia/authelia:latest authelia crypto hash generate --config /configuration.yml --password "SicheresPassword" 

den angezeigten String tragt ihr dann in die users.yml ein als password:

Mit nano /opt/containers/traefik-crowdsec-stack/data/authelia/config/users.yml die entsprechende Datei erstellen.

Inhalt:

—

###############################################################
#             Users Database           #
###############################################################

# This file can be used if you do not have an LDAP set up.

# List of users
users:
 username: # hier euren eigenen Login Namen eintragen
  displayname: "Mein Name mit Nachname"
  password:  
  email: # Eure valide Email Adresse
  groups:
   - admins
   - dev

—

Nach dem ihr dann alle Container mit docker compose -up -d –force-recreate neugestartet habt, ruft ihr 
eure Authelia domain auf auth.domain.tld und log euch mit den angelegten Zugangsdaten ein. 

Durch den rest führt euch dann Authelia. Beachtet der 6 stellige Code der angefordert wird wird euch in der Notification.txt im config Verzeichnis angezeigt. 

Nach dem erfolgreichen Anlegen des 2FA könnt ihr nun folgende Anpassungen vornehmen:

Manuelle Anpassungen an der traefik.yml im /compose
um Traefik hinter die Authelia Middleware zu bekommen muss folgende Zeile angeasst werden. 

Original:
traefik.http.routers.traefik-dashboad.middlewares: default@file,traefik-dashboard-auth@file

Angepasst:
traefik.http.routers.traefik-dashboad.middlewares: default@file,middlewares-authelia@file

Macht das bitte erst wenn euer Authelia Container läuft und ihr euch bei Authelia mindestens einmal angemeldet habt.

alternativ kann man hier auch eine traefik.override.yml anlegen. 

---
services:
 traefik:
  labels:
   traefik.http.routers.traefik-dashboad.middlewares: default@file,middlewares-authelia@file
---

nach einem erneuten restart mit 
docker compose up -d –force-recreate 
und ein paar minuten Wartezeit sollte sich beim Aufruf eurer Traefik Domain nun erst Authelia melden.

Ich hoffe ich habe dies nun vollständig dokumentiert. Falls doch was schiefgehen sollte fragt einfach. 
Ich habe dies auch gleichzeitig an Psycho0verload geschickt zur Prüfung und ggf einbau in den Stack.

Hi, erstmal vielen Dank für die ausführliche Anleitung  psycho0verload .

Ein Frage habe ich und vielleicht kann mir die hier jemand beantworten.

Meine Domains habe ich alle bei Cloudflare liegen. Beim neu einrichten mit Traefik 3 ist mir jetzt aufgefallen, das die Domain mit aktiviertem Proxy Modus bei Cloudflare nicht erreichbar ist.

Laut Traefik Log gibt es einen Fehler mit dem TLS

{"level":"error","providerName":"tls_resolver.acme","acmeCA":"https://acme-v02.api.letsencrypt.org/directory","providerName":"tls_resolver.acme","ACME CA":"https://acme-v02.api.letsencrypt.org/directory","routerName":"traefik-dashboad@docker","rule":"HOST(proxy.domain.tld)","error":"unable to generate a certificate for the domains [proxy.domain.tld]: error: one or more domains had a problem:\n[proxy.domain.tld] acme: error: 403 :: urn:ietf:params:acme:error:unauthorized :: Cannot negotiate ALPN protocol \"acme-tls/1\" for tls-alpn-01 challenge\n","domains":["proxy.domain.tld"],"time":"2024-10-24T09:07:49+02:00","message":"Unable to obtain ACME certificate for domains"}

Würde den schon sehr gerne weiter nutzen allein der DDos Schutz ist es wohl wert.

Ich hoffe mal das es nur ein Config Problem ist und jemand hier den entsprechenden Tip für die Lösung geben kann.

Danke