Перейти к основному содержимому

Ghost + Traefik v2 = блог с автообновлением SSL

· 3 мин. чтения

Этот блог работает внутри Docker контейнера и использует Traefik в качестве reverse proxy для Ghost. Недавно вышла версия v2.0, в которой были изменены некоторые фундаментальные особенности, что требует переконфигурации trafik.toml, acme.json и docker-compose.yml

У Traefik есть официальная инструкция по обновлению, и то ли я дурак, то ли ее стоит доработать, но факт в том, что после получаса вкуривания заново все настроить для меня было гораздо проще и полезнее

Задача​

Нашей задачей является настройка Traefik так, чтобы прицепить к нему всего один сайт-сервис (в нашем случае на Ghost CMS), который будет работать через SSL

Из всех функциональных способностей Traefik я использую лишь генерацию LetsEncrypt сертификатов. Балансировщик, метрики, dashboard и middleware а-ля ограничение запросов мне не нужны

В следующих конфигах нужно быть очень внимательным, поскольку никаких параметров а-ля entryPoints.name = insecure нет. Названия компонентов и настроек являются частью названия самой переменной: entryPoints. insecure.address = ":80" как пример, в следующем конфиге

traefik.toml​

Это файл статической конфигурации. В нем указываются базовые настройки самого Traefik, а не того, как он будет обрабатывать сервисы

[global] checkNewVersion = true sendAnonymousUsage = true

[entryPoints] [entryPoints.insecure] address = ":80" [entryPoints.secure] address = ":443"

[providers] [providers.docker] endpoint = "unix:///var/run/docker.sock" exposedByDefault = false

[log] level = "WARNING"

[certificatesResolvers] [certificatesResolvers.default] [certificatesResolvers.default.acme] email = "email@example.com" storage = "acme.json" [certificatesResolvers.default.acme.httpChallenge] entryPoint = "insecure"

Обратите внимание на providers.docker.exposedByDefault = false. Если у вас на хосте запущено множество сервисов, то без этого Traefik попытается автоматически подхватить и подстроиться под все. С этим он будет цеплять только те, у которых в docker-compose.yml будет label traefik.enable=true

Также заметьте названия entryPoint'ов (insecure, secure) и название certificatesResolvers (default), которые будут использованы в следующем файле

docker-compose.yml​

В нашем случае именно это файл динамической конфигурации

version: '3.5'

services: ghost: image: ghost:2 labels:

  • traefik.enable=true
  • traefik.docker.network=traefiknet
  • traefik.http.routers.ghost.rule=Host(blog.amd-nick.me)
  • traefik.http.routers.ghost.entrypoints=insecure, secure
  • traefik.http.routers.ghost.tls.certresolver=default
  • traefik.http.services.ghost.loadbalancer.server.port=2368 depends_on:
  • traefik networks:
  • traefiknet

traefik: image: traefik:v2.0.4 ports:

  • 80:80
  • 443:443 volumes:
  • "/var/run/docker.sock:/var/run/docker.sock:ro"
  • ./traefik/traefik.toml:/etc/traefik/traefik.toml
  • ./traefik/acme.json:/acme.json # описан дальше networks:
  • traefiknet

networks: traefiknet: name: traefiknet

  • .network=traefiknet обязательно создайте внизу файла вместе с .name: traefiknet, иначе docker compose создаст сеть с другим названием (Issues: 2348, 2700)
  • В routers.ghost.rule используются обратные кавычки
  • .entrypointsи .certresolver взяты с traefik.toml
  • loadbalancer.server.port=2368 указывает на порт, который Ghost использует внутри контейнера. Наружу этот порт не выносим
  • В volumes traefik видим проброс traefik.toml, который автоматически загрузится с той локации и acme по тому же принципу

acme.json​

Вам нужно создать пустой файл acme.json и обязательно сделать ему chmod 600 acme.json. Если забыть указать chmod, то SSL работать не будет (!). В этот файл будет сохраняться SSL сертификат

Как-то так :) Если помог - буду рад, если вы подпишитесь на t.me/uFeed, где я вкратце пишу о том, что читаю