wg-easy – Wireguard + Webinterface mittels Docker Compose und Traefik installieren

Danke für die gute Anleitung, ich hätte aber noch ein paar Verbesserungsvorschläge:

Ein komplettes Routing via Traefik wäre nett und ist recht einfach umzusetzen:
Zuerst alle ports von wg-easy docker-compose.yml entfernen und folgende labels hinzufügen:

services:
wg-easy:
…
#  ports:
#   – “51820:51820/udp”
#   – “51821:51821/tcp”
# or delete the three lines
…
#add following labels:
labels:
…
  ## UDP Routers
   – “traefik.udp.routers.wireguard-udp.entrypoints=wireguard”
  ## UDP Services
   – “traefik.udp.routers.wireguard-udp.service=wireguard-udp-svc”
   – “traefik.udp.services.wireguard-udp-svc.loadbalancer.server.port=51820”
…

dann die traefik.yml von Traefik anpassen:
…
# EntryPoints
# EntryPoints sind die Netzwerk-Eingangspunkte in Traefik. Sie definieren den Port, der die Pakete empfängt.
# https://doc.traefik.io/traefik/routing/entrypoints/
entryPoints:
 http:
  address: “:80”              # Erstellen des Einstiegspunkt für HTTP (Port 80)
  http:
   redirections:             # Weiterleitung von HTTP auf HTTPS (Port 80 zu Port 443).
    entryPoint:
     to: “https”            # Das Ziel
     scheme: “https”          # Umleitungszielschema
 https:
  address: “:443”             # Erstellen des Einstiegspunkt für HTTPS (Port 443)
  http:
   middlewares:
    – crowdsec-bouncer@file
 wireguard: # Diese Zeile hinzufügen für Wireguard
  address: “:51820/udp” # Diese Zeile hinzufügen für Wireguard
…

dann die docker-compose.yml von Traefik anpassen:  
…
ports:
   # Ports definieren, welche durch Traefik gemanaget werden.
   – “80:80”
   – “443:443”
   – “51820:51820/udp” # Diese Zeile hinzufügen für Wireguard
…

wg-easy container zuerst mit “docker compose down” stoppen, da der die Ports noch aktiv belegt und Traefik daher diese nicht mappen kann

Traefik mit docker “compose up -d –force-recreate” neu starten

wg-easy container mit “docker compose up -d” starten

FERTIG 😀 Damit läuft Wireguard komplett über Traefik.

Ich bin leider mit CrowdSec zu unerfahren, wie bzw. ob man hier auch mit CrowdSec absichern könnte -> wäre meines erachtens aber mal eine Idee für einen neuen Artikel falls man hier möglichkeiten hat.

Weshalb der Port 51821 als Host-Portmap benötigt wird ist mir noch nicht ganz klar (macht meiner bescheidenen Meinung ja eh schon Traefik), evtl. kann mir das aber jemand dennoch erklären.

Zusäztlich kann ich empfehlen Einträge wie Passwörter und Nutzernamen in ein .env File auszulagern um die Sicherheit noch etwas zu erhöhen. Dazu ist dann im docker-compose File des entsprechenden Service folgendes anzupassen:

# add the following lines at the specific places to your service
services:
service-1:
…
env_file:
– .env
…
environment:
– some_password=$PW
– some_user=$USER
…

Das .env File muss dann z.B. folgendermaßen aussehen:
PW=”secret_password”
USER=”username”
Diese Werte sollten natürlich immer geändert werden 😉

Danke an diesen reddit link hier für die einfache Anleitung für das Wireguard Routing über Traefik.

Und nochmals danke für die Anleitung!

Beste Grüße
Yowa