Prohomelab

Что нам нужно для полноценной работы обратного прокси.#

1. Нам нужно квалифицированное доменное имя. При покупке доменного имени рекомендую обратить внимание не на стоимость покупки (они плюс, минус всегда одинаковые), а на стоимость продления. Потому что процентное соотношение между стоимость покупки и стоимостью продления может неприятно удивить.

Сам я пользуюсь услугами smartape. Стоимость продления домена в зоне .ру у них 200р. Можете перейти по реферальной ссылке в описании к ролику на ютуб и посмотреть актуальную стоимость. Не реклама.

2. Дальше нам нужно разместить наше доменное имя на внешних днс серверах. Я сам пользуюсь услугами cloudflare, но из-за блокировок РКН доступ к их днс может не работать. Хотя я продолжаю пользоваться cloudflare, с учетом существующих на данный момент ограничений, советовать их я не могу, решайте сами. В данной статье я все-таки покажу настройку именно с cloudflare. Список днс провайдеров можно посмотреть в документации Traefik. Там есть и отечественные сервисы, нужно просто указать при настройке Traefik код провайдера и переменные окружения при настройке, как у меня в статье.

3. Желательно иметь белый ip адрес, который вы можете приобрести у вашего интернет-провайдера.

4. Настроить split dns, чтобы запросы по поддоменному имени внутри локальной сети не выходили за ее пределы. Более подробно можете посмотреть в моем ролике, посвященному именно этой теме.

{{< youtubeLite id=“J3FmDKI67e0” label=“Настройка Split DNS” >}}

Настройки DNS с помощью Cloudflare#

Я предполагаю, что у вас уже зарегистрировано доменное имя и оно перенесено на dns сервера соответствующего провайдера. Я показываю все на примере Cloudflare. В этом гайде я использую доменное имя stilicho.ru Картинки про настройку cloudflare в статье не мои, взяты из интернета.

Переходите в ваш профайл

Переходим в меню для создания токена

Начинаем создавать кастомный токен

Задаем конкретные настройки токена

Создаем токен

Скопируйте значения вашего токена и сохраните в безопасном месте, так как посмотреть еще раз значения токена в профиле у cloudflare не получится. Полученный токен мы с вами будем использовать для настройки нашего обратного прокси как сервиса, он позволяет управлять нашими сертификатами с помощью Cloudflare. Если вы потеряете токен, то единственным выходом будет его пересоздание с нуля.

Можете посмотреть все токены, которые вы создали с помощью cloudflare

Настройка статической конфигурации обратного прокси Traefik#

Traefik поддерживает статическую и динамическую конфигурацию. Все изменения в статическом конфиге предполагают ручной перезапуск Traefik. Изменения в динамической конфигурации Traefik применяются налету и перезапуск обратного прокси не требуется.

В предыдущей статье мы с вами создали простой статический конфиг исключительно для проверки работоспособности Traefik. Сейчас мы с вами уже будем все делать по взрослому. В любом случае этот конфиг можно и нужно изменять или дополнять под ваши конкретные нужды.

1
nano /etc/traefik/traefik.yaml`

1
# Traefik global configuration
2
#-https://doc.traefik.io/traefik/contributing/data-collection/
3
global:
4
  checkNewVersion: true
5
  sendAnonymousUsage: true
6
# Enable traefik ui dashboard
7
#-https://doc.traefik.io/traefik/operations/api/
8
api:
9
  dashboard: true
10
  insecure: false   # access to http://traefikIP:8080/dashboard/ is disabled
11
  debug: true
12
  disableDashboardAd: true
13
entryPoints:
14
  web:
15
    address: ":80"
16
    http:
17
      redirections: #https://doc.traefik.io/traefik/routing/entrypoints/#redirection
18
        entryPoint:
19
            to: websecure
20
            scheme: https
21
  websecure:
22
    address: ":443"
23
  metrics:
24
    address: :8082
25
#https://doc.traefik.io/traefik/observability/metrics/prometheus/
26
metrics:
27
  prometheus:
28
    entryPoint: metrics
29
# https://doc.traefik.io/traefik/routing/services/#serverstransport_1
30
# https://www.cloudflare.com/en-gb/learning/ssl/what-is-sni/
31
serversTransport:
32
    insecureSkipVerify: true
33
#-https://doc.traefik.io/traefik/providers/overview/
34
providers:
35
#-https://doc.traefik.io/traefik/providers/file/
36
  file:
37
    directory: /etc/traefik/dynamic
38
    watch: true
39
    #filename: /etc/traefik/config.yml # when a specific file is desired
40
#-https://doc.traefik.io/traefik/https/acme/
41
certificatesResolvers:
42
  cloudflare:
43
    acme:
44
      caServer: https://acme-v02.api.letsencrypt.org/directory         # prod #https://letsencrypt.org/docs/rate-limits/
45
      # caServer: https://acme-staging-v02.api.letsencrypt.org/directory # test
46
      email: email@gmail.com # valid Cloudflare-account email
47
      storage: /etc/traefik/acme.json
48
      dnsChallenge:
49
        provider: cloudflare
50
        #disablePropagationCheck: true # uncomment this if you have issues pulling certificates through cloudflare, By setting this flag to true disables the need to wait for the propagation of the TXT record to all authoritative name servers.
51
        resolvers:
52
          - "1.1.1.1:53"
53
          - "1.0.0.1:53"
54

55
log: #- https://doc.traefik.io/traefik/observability/logs/
56
    level: "INFO"
57
    filePath: "/var/log/traefik/traefik.log"
58
    noColor: false # Recommended to be true when using common. When using the 'common' format, disables the colorized output
59
    maxSize: 100 # In megabytes. Maximum size in megabytes of the log file before it gets rotated.
60
    compress: true # gzip compression when rotating. Determines if the rotated log files should be compressed using gzip.
61
#
62
#-https://doc.traefik.io/traefik/observability/access-logs/
63
accessLog:
64
    addInternals: true #Enables access logs for internal resources (e.g.: ping@internal)
65
    filePath: "/var/log/traefik/access.log"
66
    bufferingSize: 100 # number of log lines Traefik will keep in memory before writing them to the selected output
67
    fields:
68
        names:
69
            StartUTC: drop # Write logs in Container Local Time instead of UTC. The time at which request processing started. The time at which request processing started.
70
    filters:
71
        statusCodes:
72
            - "204-299"
73
            - "400-599"
74
#
75
experimental:
76
    plugins:
77
        bouncer:
78
            moduleName: "github.com/maxlerebourg/crowdsec-bouncer-traefik-plugin"
79
            version: "v1.4.4"
80
        #
81
        cloudflarewarp:
82
            moduleName: github.com/BetterCorp/cloudflarewarp
83
            version: v1.3.3

В этом файле мы определяем следующие основные параметры:

• Traefik будет проверять выход свежих версий
• запрещаем передачу анонимной статистики использования, но подумайте над тем, чтобы разрешить передачу. Это поможет разработчикам в развитии продукта.
• разрешаем доступ к дэшборду Traefik только по доменному имени.
• определяем три точки входа для http, https трафика на соответствующих порта и называем эти точки web, и websecure соответственно.
• определяем еще одну точку для снятия метрик по порту 8082 и называем ее metrics
• говорим, что метрики мы будем передавать в сервис prometheus и говорим прокси на каком порту это можно сделать
• разрешаем доступ к сервисам, которые имеют встроенные самоподписанные ssl сертификаты. Например - Proxmox. Можно задавать эти параметры для конкретного сервиса в файле динамической конфигурации, но я считаю что проще один раз это сделать в статике.
• говорим Traefik, что ему надо мониторить соответствующую директорию для применения динамической конфигурации.
• указываем кто у нас будет служить резолвером наших ssl сертификатов и указываем соответствующие значения. Мы говорим, что будет использовать production сертификаты, но лучше конечно сначала потренироваться на staging сертификатах.
• указываем, что выпускать ssl сертификаты мы будем с помощью dns challenge.
• указываем, что у нас будет два варианта логов: traefik.log - лог настроек непосредственно traefik; access.log - файл, где будут записи обо всех запросах поступивших на наш Traefik. Также мы задаем соответствующие настройки непосредственно лог файлов.
• в разделе experimental у меня указаны два плагина, но их настройка выходит за рамки темы настоящей статьи.

Настройка динамической конфигурации обратного прокси Traefik#

В данной статье создадим достаточно простую динамическую конфигурацию обратного прокси Traefik, которая будет включать в себя два сервиса: непосредственно дэшборд Traefik и популярный сервис по менеджменту видеофайлов Radarr.

Создаем файл динамической конфигурации командой

1
nano /etc/traefik/dynamic/config.yaml

Теперь укажем там следующую конфигурацию

1
http:
2
# https://doc.traefik.io/traefik/routing/routers/
3
  routers:
4
   # harden dashboard access: can only be accessed with a username/password
5
    dashboard:
6
      entryPoints:
7
        - websecure
8
      rule: "Host(`traefik-dashboard.domain.ru`)"
9
      service: api@internal
10
      middlewares:
11
        - auth
12
      tls:
13
        certResolver: cloudflare
14

15
    radarr:
16
      entryPoints:
17
        - "websecure"
18
      rule: "Host(`radarr.domain.ru`)"
19
      middlewares:
20
        - default-headers
21
        - https-redirect
22
      tls:
23
        certResolver: cloudflare
24
      service: radarr
25

26
# https://doc.traefik.io/traefik/routing/services/
27
  services:
28
    radarr:
29
      loadBalancer:
30
        servers:
31
          - url: "http://192.168.x.x:7878" # Change IP Address to your radarr instance
32
        passHostHeader: true
33

34
# https://doc.traefik.io/traefik/middlewares/http/overview/
35
  middlewares:
36
# Middleware for Redirection
37
# This can be used instead of global redirection
38
#
39
    auth:
40
      basicAuth:
41
        users:    # users and their MD5 hashed passwords, granted access to the traefik dashboard
42
          - "admin:hashedpassword" # openssl passwd -1 "hashedpassword"
43
#
44
    https-redirect:
45
      redirectScheme:
46
        scheme: https
47
        permanent: true
48
#
49
    default-headers:
50
      headers:
51
        frameDeny: true
52
        browserXssFilter: true
53
        contentTypeNosniff: true
54
        forceSTSHeader: true
55
        stsIncludeSubdomains: true
56
        stsPreload: true
57
        stsSeconds: 15552000
58
        customFrameOptionsValue: SAMEORIGIN
59
        customRequestHeaders:
60
          X-Forwarded-Proto: https
61

62
# https://doc.traefik.io/traefik/https/tls/
63
tls:
64
 options:
65
   default:
66
     minVersion: VersionTLS12    # change to a lower version if you expect to service Internet traffic from around the world
67
     curvePreferences:   # below priority sequence can be changed
68
       - X25519     # the most commonly used 128-bit
69
       - CurveP256  # the next most commonly used 128-bit
70
       - CurveP384  # 192-bit
71
       - CurveP521  # 256-bit
72
     sniStrict: true     # true if our own certificates should be enforced
73
     cipherSuites:
74
       - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
75
       - TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
76
       - TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
77
       - TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
78
       - TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
79
#  certificates:
80
#    - certFile: /etc/traefik/domain.cert
81
#      keyFile: /etc/traefik/domain.key
82
#    - certFile: /etc/traefik/certificate.pem
83
#      keyFile: /etc/traefik/private_key.pem
84
#### Traefik uses its own default certificate for connections without SNI, or without a matching domain.
85
#### However, we can provide our own default certificate, instead of using the Traefik default.
86
#  stores:
87
#    default:
88
#      defaultCertificate:
89
#        certFile: /etc/traefik/cert.crt
90
#        keyFile: /etc/traefik/cert.key
91
#### Alternatively, we can use an ACME generated default certificate.
92
stores:
93
  default:
94
    defaultGeneratedCert:
95
      resolver: cloudflare
96
      domain:
97
        main: domain.ru
98
        sans:
99
          - "*.domain.ru"

Давайте опишу все по порядку.

Сначала поговорим о настройках routers.

Мы указываем каким образом можем получить доступ к дэшборду Traefik. Задаем описание маршрута, описание сервиса, поддоменное имя, по которому будет доступен наш дэшборд, а также тип middleware, которым мы зададим механизм авторизации для доступа к нашему дэшборду. Далее мы указываем второй маршрут к нашему сервису Radarr, а также типы middlewares, которые должны быть применены к данному сервису.

В разделе сервисы мы даем описание нашего сервиса Radarr. В отношении дэшборда нет необходимости задавать описание в разделе сервисы, мы это уже сделали в разделе routers, в связи с тем, что это внутренний сервис.

В разделе middlewares у нас три разных middleware:

1. Auth - так мы с вами обозначаем middleware, которая отвечает за базовую аутентификацию в Traefik (так называемая basicauth). В качестве логина мы указываем admin, а пароль должен быть в захешированном виде. Сделать это можно с помощью команды

1
openssl passwd -1 "мой секретный пароль"

где мой секретный пароль - пароль, который мы хотим захэшировать.

2. Default-headers - стандартные заголовки для браузера

3. Https-redirect - тип редиректа

Но самое интересное - это раздел tls, где мы задаем параметры выпуска и хранения ssl сертификатов, устанавливаем минимальный уровень протокола tls, а также параметры шифрования. Далее мы указываем на какой домен мы будем выпускать ssl сертификат и также определяем выпуск wildcard сертификата на любое поддоменное имя третьего уровня по нашему доменному имени.

Теперь нам надо интегрировать полученный ранее токен от cloudflare. Сделать это можно простой bash командой

1
export CLOUDFLARE_DNS_API_TOKEN="твой-токен"

После этого запускаем наш обратный proxy командой traefik. Мы можем следить за ходом выпуска сертификатов и работы Traefik в его логах с помощью команд:

cat /var/log/traefik/traefik.log

cat /var/log//traefik/access.log

После того как в traefik.log вы увидите, что сертификаты выпущены (также можно проверить файл acme.json) мы можем перейти по поддоменным именам для доступа к нашим сервисам.

В принципе начальная настройка обратного прокси завершена. Однако надо сделать еще одну вещь. Мы хотим чтобы наш обратный прокси теперь работал к сервис, чтобы мы могли использовать команды systemctl

Создадим простой файл

1
nano /etc/systemd/system/traefik-proxy.service

Укажем там следующие значения

1
[Unit]
2
Description=Start Traefik Proxy
3
Documentation=https://go-acme.github.io/lego/dns/cloudflare/
4

5
[Service]
6
# declare the Cloudflare API token so Let's Encrypt can verify the domain name
7
Environment="CLOUDFLARE_DNS_API_TOKEN=ваш-токен"
8
ExecStart=/usr/local/bin/traefik
9
Restart=always
10

11
[Install]
12
# installs a hook to use this unit file when the system boots or shuts down
13
WantedBy=multi-user.target

Теперь мы можем с вами использоваться обычные команды:

systemctl status traefik-proxy - статус юнита

systemctl disable traefik-proxy - отключить автоматическую загрузку юнита

systemctl start traefik-proxy - ручной запуск юнита