[🕰️ Outdated] Traefik V3 Installation, Konfiguration und CrowdSec-Security

Ich habe festgestellt, dass man bei den Traefik-Labels inzwischen auf fünf Labels reduzieren kann.

traefik.docker.network: proxy: Das Netzwerk wird in der statischen Config providers.docker.network schon definiert und ist hier redundant. https://doc.traefik.io/traefik/providers/docker/#networktraefik.http.routers.wordpress.middlewares: default@file: Die Middleware wird auch schon in der statischen Config definiert in entryPoints.websecure.http.middlewares.traefik.http.routers.wordpress.service: wordpress: Ein Service wird automatisch erstellt oder automatisch assigned, wenn die Konfiguration durch Labels geschieht. https://doc.traefik.io/traefik/routing/providers/docker/#service-definitiontraefik.http.routers.wordpress.tls: true: Wenn ein TLS-Konfigurationslabel angegeben ist, also den certresolver, dann wird TLS implizit auf true gesetzt. https://doc.traefik.io/traefik/routing/routers/#generalDamit bleiben am Ende die Labels für enable, entrypoint, rule, certresolver und port.

In meinem Setup habe ich einige Änderungen vorgenommen, die es einerseits für mich noch weiter vereinfachen und andererseits meinen persönlichen Vorstellungen und meinen anderen Projekten besser passen, was rein Geschmacksache ist.

Die Zeitzone mit der Variable TZ muss nicht in jeder .env-Subdatei neu definiert werden. Wie man bei der ABSOLUTE_PATH-Variable sieht, ist dies nicht notwendig, sondern reicht einmal zentral. Das Gleiche gilt für BOUNCER_KEY_TRAEFIK. Die muss in der .env-Datei für CrowdSec nicht neudefiniert werden.

Beim Einfügen von Werten in Dateien wie bei BOUNCER_KEY_TRAEFIK in „7.3.6. API Key für den CrowdSec Bouncer für Traefik generieren“ bevorzuge ich sed-Editor statt echo mit Umleitung. Es vermeidet Duplikate in der Datei und vermeidet, wenn man doch sudo verwendet, ein “Permission denied”.

sed -i -e "/^BOUNCER_KEY_TRAEFIK=/c\BOUNCER_KEY_TRAEFIK=\"$BOUNCER_PASSWORD\"" \
-e "\$aBOUNCER_KEY_TRAEFIK=\"$BOUNCER_PASSWORD\"" \
/opt/containers/traefik-crowdsec-stack/.env

Ich habe auf Debian 12 Probleme mit PWD-Variable. PWD ist auf dem Host-System vorhanden und in der Bash nutzbar. Jedoch übergibt Docker die Variable nicht an den Container weiter und ist damit dort nicht anwendbar. Eine mögliche Lösung ist, den Pfad fest zu codieren. Eine andere Lösung besteht darin, wieder zu relativen Pfaden zurückzukehren, wie es bei älteren Anleitungen üblich war. Beispielhaft an traefik.yml-Compose-Datei:

  volumes:
   - /etc/localtime:/etc/localtime:ro
   - ../data/traefik/traefik.yml:/etc/traefik/traefik.yml
   - ../data/traefik/.htpasswd:/etc/traefik/.htpasswd
   - ../data/traefik/certs/acme_letsencrypt.json:/etc/traefik/acme_letsencrypt.json
   - ../data/traefik/certs/tls_letsencrypt.json:/etc/traefik/tls_letsencrypt.json
   - ../data/traefik/dynamic_conf:/etc/traefik/dynamic_conf:ro
   - /var/log/traefik/:/var/log/traefik/

Bei der oben genannten Variable BOUNCER_KEY_TRAEFIK und ggf. unten angegebene SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL bevorzuge ich diese in der zentralen .env-Datei zu speichern. Da sie neben den anderen Variablen in dieser Datei in den meisten Fällen die einzigen Variablen sind, die für jeden Host spezifiziert werden müssen. Bei der GIN_MODE -Variable kommt es darauf an, ob man beim allerersten Mal diesen Wert auf debug setzen will, oder dass man jedes Mal mit diesem Wert starten möchte. Auch bevorzuge ich, persönlich die .env Dateien neben den Compose-Dateien zu legen und sie entsprechend zu benennen, z. B. traefik.env. Natürlich müssen die env_file-Pfade infolge angepasst werden.

Was ich gerne noch anpassen würde, aber bisher nicht hinbekommen habe, ist die E-Mail-Adresse über die Compose-Datei bereitzustellen. Weder mit Label noch mit Command hat es bisher funktioniert.

services:
 traefik:
  labels:
   traefik.certificatesResolvers.http_resolver.acme.email: ${SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL:-user@example.com}
   traefik.certificatesResolvers.tls_resolver.acme.email: ${SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL:-user@example.com}
   # Alternatsyntax
   - "traefik.certificatesResolvers.http_resolver.acme.email=${SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL:-user@example.com}"
   - "traefik.certificatesResolvers.tls_resolver.acme.email=${SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL:-user@example.com}"
# oder mit command
  command:
   - "--certificatesresolvers.http_resolver.acme.email=${SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL}"
   - "--certificatesresolvers.tls_resolver.acme.email=${SERVICES_TRAEFIK_CERTIFICATESRESOLVERS_EMAIL}"