Развертывание Traefik v3 в Docker Compose: современный Edge-роутер с автоматическим SSL, балансировкой и обнаружением контейнеров через метки

В классической инфраструктуре на базе Nginx добавление каждого нового веб-сервиса превращается в рутину: системный администратор вручную создает конфигурационный файл виртуального хоста, прописывает upstream-порты, запускает утилиту Certbot для выпуска SSL-сертификата и перезагружает сервис командой systemctl reload nginx. В динамических средах с десятками микросервисов такой подход приводит к ошибкам и задержкам. Traefik v3 — это ведущий cloud-native Edge-роутер и обратный прокси (более 65 000 звёзд на GitHub, лицензия MIT), созданный специально для работы с контейнерами. Traefik непрерывно слушает события Docker API, автоматически обнаруживает запущенные контейнеры по специальным меткам (labels), мгновенно выпускает бесплатные SSL-сертификаты Let's Encrypt и перенаправляет трафик без перезагрузок и простоя соединений. В этом руководстве мы развернем стабильный релиз Traefik v3.7 в Docker Compose, защитим сокет Docker через изолированный прокси-шлюз, включим автоматический редирект на HTTPS, настроим дашборд с авторизацией и разберем практические примеры подключения сервисов.

1. Архитектура Traefik v3: чем Edge-роутер принципиально отличается от Nginx

Традиционные веб-серверы (Nginx, Apache) разрабатывались в эпоху статичных серверов, где IP-адреса и порты приложений оставались неизменными годами. Traefik изначально спроектирован для микросервисной и контейнерной архитектуры:

• Динамическое обнаружение сервисов (Service Discovery). Вместо статичных конфигурационных файлов Traefik подключается напрямую к провайдерам инфраструктуры (Docker, Kubernetes, Nomad). Когда вы запускаете новый контейнер командой docker compose up -d, Traefik перехватывает событие создания контейнера, считывает его метаданные и самостоятельно генерирует маршрут за миллисекунды.
• Маршрутизация без перезагрузок (Zero-Downtime Reconfiguration). Nginx при изменении конфигурации требует вызова команды nginx -s reload, что в моменты пиковых нагрузок может приводить к кратковременному сбросу keep-alive соединений и WebSocket-сессий. Traefik обновляет таблицу маршрутизации в оперативной памяти на лету без перезапуска процесса.
• Встроенный ACME-клиент для SSL/TLS. Traefik самостоятельно взаимодействует с Let's Encrypt по протоколам HTTP-01, TLS-ALPN-01 или DNS-01, автоматически запрашивает, валидирует и продлевает сертификаты за 30 дней до окончания их срока действия без внешних cron-скриптов и утилит вроде Certbot.
• Концепция Routers, Middlewares и Services:
  • EntryPoints: сетевые порты, которые слушает Traefik (например, порт 80 для HTTP и 443 для HTTPS).
  • Routers: правила анализа входящих запросов (по доменному имени Host(`app.example.ru`), пути или заголовкам).
  • Middlewares: цепочки промежуточной обработки трафика (принудительный редирект на HTTPS, базовая аутентификация BasicAuth, сжатие gzip, добавление заголовков безопасности или ограничение частоты запросов RateLimit).
  • Services: конечные целевые контейнеры, между которыми Traefik распределяет клиентский трафик с возможностью балансировки нагрузки.

2. Сравнение Edge-роутеров: Traefik v3 против Nginx и Caddy 2

Выбор входного шлюза для VDS определяет сложность поддержки и масштабируемость всей серверной инфраструктуры:

3. Системные требования и архитектура внешней Docker-сети

Благодаря компилируемому ядру на языке Go, Traefik v3 не требует интерпретаторов и потребляет минимальное количество ресурсов хоста:

• Процессор (vCPU): 1–2 vCPU (от 2.4 ГГц). Этого достаточно для обработки десятков тысяч входящих HTTP/HTTPS запросов в секунду.
• Оперативная память (RAM): от 512 МБ до 1 ГБ RAM на сервере (сам контейнер Traefik в рабочем режиме потребляет всего 40–80 МБ памяти).
• Накопитель: 10–20 ГБ NVMe-диска (сертификаты Let's Encrypt и конфигурация занимают менее 50 МБ).
• Операционная система: Ubuntu 24.04 LTS или Debian 12 с установленным Docker Engine и плагином Docker Compose v2.

Изоляция проектов через внешнюю сеть proxy

Распространенная ошибка начинающих инженеров — попытка поместить все веб-сервисы, базы данных и обратный прокси в один гигантский файл docker-compose.yml. В боевом окружении сервисы обязаны быть изолированы по независимым директориям: собственный compose-файл для корпоративного портала, отдельный для мониторинга и отдельный для шлюза Traefik.

Чтобы Traefik мог перенаправлять трафик в независимые контейнеры, создается общая внешняя виртуальная сеть:

# Создаём внешнюю Docker-сеть bridge с именем proxy
docker network create proxy

Теперь любой контейнер, подключенный к сети proxy, сможет безопасно принимать маршрутизируемый трафик от Traefik без необходимости открывать свои порты наружу на хосте.

4. Защита сокета Docker: устранение критической уязвимости root-доступа

Большинство руководств в интернете предлагают смонтировать Unix-сокет хоста напрямую в контейнер роутера: - /var/run/docker.sock:/var/run/docker.sock. С точки зрения информационной безопасности это грубейшая критическая уязвимость.

Для устранения этого риска инженеры SysKit разворачивают специализированный шлюз безопасности docker-socket-proxy на базе легковесного HAProxy. Шлюз перехватывает все обращения к сокету и пропускает только безопасные операции чтения метаданных:

• Разрешено: чтение списка контейнеров (/containers), опрос событий (/events) и проверка состояния сети (/networks).
• Заблокировано: выполнение команд внутри контейнеров (/exec), создание томов (/volumes), сборка образов (/build), удаление сервисов и управление секретами.

Traefik подключается к шлюзу по изолированному протоколу TCP (tcp://socket-proxy:2375) внутри внутренней сети, полностью исключая прямой контакт с привилегированным сокетом операционной системы хоста.

5. Манифест Docker Compose: запуск Traefik v3.7 и хранилище acme.json

Переходим к практическому развертыванию. Создаем структуру каталогов и инициализируем файл хранилища сертификатов:

# Создаём рабочий каталог
mkdir -p /opt/traefik/dynamic && cd /opt/traefik

# Создаём файл для сохранения SSL-сертификатов Let's Encrypt
touch acme.json

# КРИТИЧНО: Traefik требует строгие права 600 на файл сертификатов
chmod 600 acme.json

Манифест docker-compose.yml

Создайте файл /opt/traefik/docker-compose.yml со следующей конфигурацией:

services:
  # 1. Шлюз безопасности сокета Docker (доступ только для чтения)
  socket-proxy:
    image: tecnativa/docker-socket-proxy:v0.5.0
    container_name: traefik-socket-proxy
    restart: unless-stopped
    environment:
      - CONTAINERS=1
      - NETWORKS=1
      - SERVICES=1
      - TASKS=1
      - EVENTS=1
      # Все деструктивные операции строго заблокированы (по умолчанию 0)
      - EXEC=0
      - VOLUMES=0
      - BUILD=0
      - SECRETS=0
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
    networks:
      - socket-net
    mem_limit: 128m
    cpus: 0.5

  # 2. Основной Edge-роутер Traefik v3.7
  traefik:
    image: traefik:v3.7.16
    container_name: traefik-edge
    restart: unless-stopped
    depends_on:
      - socket-proxy
    ports:
      # Публичные порты для входящего трафика
      - "80:80"
      - "443:443"
      # Поддержка современного сверхбыстрого протокола HTTP/3 (QUIC по UDP)
      - "443:443/udp"
    volumes:
      - ./traefik.yml:/etc/traefik/traefik.yml:ro
      - ./acme.json:/etc/traefik/acme.json
      - ./dynamic:/etc/traefik/dynamic:ro
    networks:
      - proxy
      - socket-net
    mem_limit: 512m
    cpus: 1.0

networks:
  # Внешняя сеть для подключения веб-сервисов
  proxy:
    external: true
  # Внутренняя приватная сеть для безопасного общения с сокетом
  socket-net:
    internal: true

6. Конфигурация traefik.yml: EntryPoints, авто-редирект на HTTPS и ACME

Главный файл статической конфигурации определяет точки входа трафика и параметры провайдера Docker. Создайте файл /opt/traefik/traefik.yml:

# Глобальные настройки логирования
log:
  level: INFO

accessLog: {}

# Точки входа (EntryPoints)
entryPoints:
  # Порт 80: автоматический постоянный редирект на HTTPS для всех доменов
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
          permanent: true

  # Порт 443: защищенный трафик с поддержкой HTTP/3 (QUIC)
  websecure:
    address: ":443"
    http3:
      advertisedPort: 443
    http:
      tls:
        certResolver: letsencrypt

# Встроенный клиент Let's Encrypt (ACME)
certificatesResolvers:
  letsencrypt:
    acme:
      email: admin@example.ru
      storage: /etc/traefik/acme.json
      httpChallenge:
        entryPoint: web

# Подключение провайдеров
providers:
  # Провайдер Docker: подключаемся через защищенный socket-proxy
  docker:
    endpoint: "tcp://socket-proxy:2375"
    # Безопасность: не публиковать контейнеры, пока явно не указана метка traefik.enable=true
    exposedByDefault: false
    network: proxy

  # Провайдер динамических файлов (для middleware и статических маршрутов)
  file:
    directory: /etc/traefik/dynamic
    watch: true

# Включение дашборда и API
api:
  dashboard: true

7. Безопасный дашборд Traefik с BasicAuth и SSL

Traefik предоставляет информативную графическую панель управления, в которой в реальном времени отображаются все активные маршрутизаторы, службы, используемые middleware, статус SSL-сертификатов и состояние здоровья бэкендов.

В целях безопасности панель управления никогда не публикуется на незащищенный порт 8080 наружу. Мы опубликуем её через сам Traefik на защищенном поддомене (например, traefik.example.ru) с автоматическим сертификатом SSL и парольной защитой по протоколу HTTP BasicAuth.

Генерация хеша пароля для BasicAuth

Сгенерируйте надежный пароль через генератор надёжных паролей SysKit и создайте учетную запись с помощью утилиты htpasswd (входит в пакет apache2-utils):

# Устанавливаем htpasswd при необходимости
apt-get update && apt-get install -y apache2-utils

# Генерируем хеш пароля с алгоритмом bcrypt (-B)
echo $(htpasswd -nBb admin "ВашНадежныйПароль") | sed -e s/\\$/\\$\\$/g

Подключение меток для дашборда в docker-compose.yml

Добавьте блок labels в сервис traefik в файле /opt/traefik/docker-compose.yml:

    labels:
      - "traefik.enable=true"
      # Маршрут для панели управления
      - "traefik.http.routers.dashboard.rule=Host(`traefik.example.ru`) && (PathPrefix(`/api`) || PathPrefix(`/dashboard`))"
      - "traefik.http.routers.dashboard.service=api@internal"
      - "traefik.http.routers.dashboard.entrypoints=websecure"
      - "traefik.http.routers.dashboard.tls=true"
      # Подключение middleware базовой авторизации
      - "traefik.http.routers.dashboard.middlewares=auth"
      # Вставьте сгенерированный хеш с двойными знаками $$
      - "traefik.http.middlewares.auth.basicauth.users=admin:$$2y$$05$$zX7..."

# Запускаем стек Traefik
docker compose up -d

# Проверяем журнал запуска
docker compose logs -f traefik

8. Подключение сервисов через Docker-метки: от лендингов до API

Теперь для публикации любого нового сайта или API вам больше не нужно редактировать файлы Nginx и перезапускать сервер. Достаточно добавить несколько меток labels в манифест контейнера.

Пример 1: Веб-сайт или корпоративный портал

Создайте независимый проект в /opt/my-app/docker-compose.yml:

services:
  web:
    image: nginx:alpine
    container_name: my-website
    restart: unless-stopped
    # Порты наружу НЕ пробрасываются: Traefik общается внутри Docker-сети
    labels:
      # 1. Включаем Traefik для этого контейнера
      - "traefik.enable=true"
      # 2. Правило доменного имени (Host)
      - "traefik.http.routers.website.rule=Host(`site.example.ru`)"
      # 3. Принимаем только защищенный трафик (порт 443)
      - "traefik.http.routers.website.entrypoints=websecure"
      - "traefik.http.routers.website.tls=true"
      # 4. Внутренний порт, который слушает приложение внутри своего контейнера
      - "traefik.http.services.website.loadbalancer.server.port=80"
    networks:
      - proxy

networks:
  proxy:
    external: true

Пример 2: Балансировка нагрузки между несколькими репликами

Traefik v3 умеет автоматически распределять запросы между несколькими копиями одного сервиса по алгоритму Round-Robin. Если в файле docker-compose.yml указать директиву deploy.replicas: 3 (или запустить контейнеры командой docker compose up -d --scale web=3), Traefik автоматически определит IP-адреса всех трех запущенных контейнеров и начнет равномерно балансировать трафик. Если одна из реплик упадет, она будет мгновенно исключена из пула без ошибок 502 для пользователей.

9. Продвинутые middleware: сжатие gzip, HSTS и защита от перегрузок (Rate Limiting)

Вместо дублирования параметров безопасности в каждом контейнере, создадим универсальный файл общих middleware. Благодаря директиве providers.file.directory: /etc/traefik/dynamic в файле traefik.yml, любые изменения в этом каталоге применяются на лету без перезапуска.

Создайте файл /opt/traefik/dynamic/middlewares.yml:

http:
  middlewares:
    # 1. Заголовки безопасности и строгий HSTS
    security-headers:
      headers:
        sslRedirect: true
        stsSeconds: 31536000
        stsIncludeSubdomains: true
        stsPreload: true
        contentTypeNosniff: true
        browserXssFilter: true
        frameDeny: true
        referrerPolicy: "strict-origin-when-cross-origin"

    # 2. Сжатие ответов (Gzip и Brotli)
    compression:
      compress:
        minResponseBodyBytes: 1024

    # 3. Ограничение частоты запросов (Rate Limiting) для защиты от брутфорса
    rate-limit:
      rateLimit:
        average: 100
        burst: 50
        period: 1m

Для применения этих политик к любому веб-сервису достаточно добавить метку со ссылкой на файловый провайдер:

      - "traefik.http.routers.my-app.middlewares=security-headers@file,compression@file,rate-limit@file"

После подключения проверьте статус TLS-сертификатов через сервис проверки SSL-сертификатов и убедитесь в наличии HSTS-заголовков с помощью утилиты анализа HTTP-заголовков.

10. Резервное копирование сертификатов Let's Encrypt и обновление

Файл acme.json содержит закрытые ключи и все выпущенные сертификаты Let's Encrypt. Если потерять этот файл, Let's Encrypt может заблокировать повторный выпуск из-за жестких лимитов частоты запросов (Rate Limits: не более 5 дублирующих сертификатов на домен в неделю).

Скрипт резервного копирования

Создайте скрипт /usr/local/bin/backup-traefik.sh:

#!/usr/bin/env bash
set -euo pipefail

BACKUP_DIR="/var/backups/traefik"
TIMESTAMP="$(date +%Y%m%d-%H%M%S)"
TARGET_DIR="${BACKUP_DIR}/${TIMESTAMP}"

mkdir -p "${TARGET_DIR}"
chmod 700 "${TARGET_DIR}"

# Копируем конфигурацию и хранилище сертификатов
cp /opt/traefik/acme.json "${TARGET_DIR}/acme.json"
cp /opt/traefik/traefik.yml "${TARGET_DIR}/traefik.yml"
cp /opt/traefik/docker-compose.yml "${TARGET_DIR}/docker-compose.yml"
cp -r /opt/traefik/dynamic "${TARGET_DIR}/dynamic"

# Закрываем права на бэкап сертификатов
chmod 600 "${TARGET_DIR}/acme.json"

# Архивируем бэкап
tar -czf "${TARGET_DIR}.tar.gz" -C "${BACKUP_DIR}" "${TIMESTAMP}"
rm -rf "${TARGET_DIR}"

echo "Резервная копия Traefik успешно создана: ${TARGET_DIR}.tar.gz"

# Удаляем локальные архивы старше 30 дней
find "${BACKUP_DIR}" -name "*.tar.gz" -mtime +30 -delete

chmod +x /usr/local/bin/backup-traefik.sh

# Добавляем в системный cron без перезаписи персональных таблиц
cat <<EOF > /etc/cron.d/traefik-backup
# Ночной бэкап конфигурации и сертификатов Traefik в 03:30
30 3 * * * root /usr/local/bin/backup-traefik.sh >> /var/log/traefik-backup.log 2>&1
EOF

chmod 644 /etc/cron.d/traefik-backup

Для долгосрочного хранения дампов за пределами сервера настройте автоматическую выгрузку в S3-хранилище по руководству по автоматическим шифрованным бэкапам VDS в S3 с Restic.

Обновление Traefik v3

cd /opt/traefik

# Скачиваем свежий образ
docker compose pull

# Перезапускаем контейнеры без потери сертификатов
docker compose up -d

11. Чек-лист проверки готовности Traefik v3 к production-эксплуатации

Использование Traefik v3 в качестве центрального Edge-роутера позволяет навсегда забыть о ручном обновлении конфигураций Nginx, выпуске сертификатов и рисках падения сервисов при перезагрузках, превращая управление десятками сайтов на VDS в комфортный и автоматизированный процесс.