xataz J'ai vu à l'initialisation de traefik qu'il cherchait un traefik.toml ou yml dans /etc/traefik/, j'ai donc essayé de passer uniquement la config des certResolver dedans mais avoir un fichier lu au démarrage supplante les option passées en CLI donc impossible de faire cohabiter les deux.

J'ai donc décidé de passer la conf présente dans le docker-compose vers le fichier yml dans /etc/traefik/traefik.yml (penser à ajouter /opt/docker/traefikV2/traefik.yml:/etc/traefik/traefik.yml pour monter le fichier) :

## Fichier traefik.yml lu au démarrage
global:
  checkNewVersion: false
  sendAnonymousUsage: false

providers:
  file:
    directory: /etc/traefik/conf/
    watch: true

api:
  insecure: false
  dashboard: true

log:
  level: INFO
  filePath: /etc/traefik/traefik.log

accessLog: true

entryPoints:
  web:
    address: ":80"
  websecure:
    address: ":443"

certificatesResolvers:
  letsencrypt-ecdsa:
    acme:
      email: test@domain.tld
      caserver: https://acme-v02.api.letsencrypt.org/directory
      storage: /etc/traefik/acme.json
      keytype: EC384
      httpChallenge:
        entryPoint: web
  letsencrypt-rsa2048:
    acme:
      email: test@domain.tld
      caserver: https://acme-v02.api.letsencrypt.org/directory
      storage: /etc/traefik/acme.json
      keytype: RSA2048
      httpChallenge:
        entryPoint: web

Tout fonctionne, même si j'aurai préféré que traefik puisse gérer les certificatesresolver dynamiquement.

Bonjour,
Merci pour le tuto.
J'ai juste deux petites erreurs que je n'arrive pas à résoudre.

level=error msg="servers transport not found default@internal" entryPointName=websecure routerName=traefik-secure@file

level=error msg="Unable to obtain ACME certificate for domains \"traefik..xx.xx\": unable to generate a certificate for the domains [traefik.xx.xx]: error: one or more domains had a problem:\n[traefik.xx.xx] [traefik.xx.xx] acme: error presenting token: timeout 2021-01-24 15:41:36.984015158 +0000 UTC m=+54.997971025\n" rule="Host(`traefik.xx.xx`)" routerName=traefik-secure@file providerName=letsencrypt-ecdsa.acme

Merci d'avance

Hello, merci pour ton partage.

Petite coquille;

time="2021-02-05T20:55:13Z" level=error msg="middleware \"admins-users@file\" does not exist" routerName=traefik-secure@file entryPointName=websecure
time="2021-02-05T20:55:13Z" level=error msg="middleware \"admins-users@file\" does not exist" entryPointName=websecure routerName=traefik-secure@file

il faut corriger le nom du middleware dans "../traefik/conf.d/auth.yml" ou dans le fichier du service "../traefik/conf.d/traefik.yml" car dans l'un c'est "admin-users" et dans l'autre c'est "admins-users@file".

Peut-être juste rajouter, toujours dans le middleware auth.yml, une étape pour générer un mdp ?

docker run --rm -ti xmartlabs/htpasswd mon_USER mon_MDP > htpasswd
cat htpasswd

Sinon pour Nextcloud, je sais que tu as pris un exemple comme ça pour faire comprendre, mais au cas où, il faut autoriser le dns que tu as personnalisé sinon nextcloud refuse de démarer à partir d'un domaine non approuvé

docker exec --user www-data ID_CONTENEUR php occ config:system:set trusted_domains 2 --value=mon.domaine.com

en tout cas le tuto est super clair, on voit bien que tu n'en es pas à ton 1er

Merci, je commence par la version simple moins secure pour déjà comprendre la base et après je rajouterai les couches sécu
Donc je suis parti sur le fichier traefik.yml fourni par Banip quelques posts au dessus.
J'ai quelques questions comme toujours :

log:
level: INFO
filePath: /etc/traefik/traefik.log

• Il ne faudrait pas ajouter un bind mount pour le répertoire ci-dessus dans le docker-compose (/etc/traefik/traefik.log) ?

• Quelle est la différence entre web et http dans les entrypoints ?

• Quelqu'un utilise un nom de domaine OVH ? J'ai bien suivi les procédures, apparemment c'est un DNS challenge qui est utilisé. J'ai bien configuré mon API OVH mais concernant les variables à passer, est-ce qu'il faut le faire par un fichier ? Si oui sous quelle forme ? Ou directement en variables d'environnement ? Directement dans mon fichier docker-compose ou dans le traefik.yml ?

Merci !

Edit : A moins que je puisse utiliser le challenge HTTP avec OVH, je viens de lire que le DNS challenge n'est pas trop sécurisé car il faut donner des droits particuliers...

Parfait ça a l'air de fonctionner merci !
Le docker-compose se limite à ça pour le moment (en attendant de mettre en place le socket proxy, le runtime gvisor, le no-new-privileges, etc..), s'il y a des choses importantes à rajouter je suis preneur Même chose pour les autres fichiers

version: "2.4"
  networks:
    frontend:
      external: true
      
services:
  traefik:
    container_name: traefik
    image: traefik:latest
    volumes:
      - ./traefik.yml:/etc/traefik/traefik.yml
      - ./acme/acme.json:/etc/traefik/acme.json
      - ./certs:/etc/traefik/certs
      - ./conf.d:/etc/traefik/conf.d
      - ./traefik2.log:/etc/traefik/traefik2.log
      - /var/run/docker.sock:/var/run/docker.sock
ports:
  - 80:80
  - 443:443
networks:
  - frontend
restart: unless-stopped

Le traefik.yml :

global:
  checkNewVersion: false
  sendAnonymousUsage: false

providers:
  file:
    directory: /etc/traefik/conf.d/
    watch: true

api:
#  insecure: true
  dashboard: true

log:
  level: INFO
  filePath: /etc/traefik/traefik2.log

accessLog: true

entryPoints:
  web:
    address: ":80"
  websecure:
    address: ":443"

certificatesResolvers:
  letsencrypt-ecdsa:
    acme:
      email: mail@domain.tld
      caserver: https://acme-v02.api.letsencrypt.org/directory
      storage: /etc/traefik/acme.json
      keytype: EC384
      httpChallenge:
        entryPoint: web
      tlschallenge: true
  letsencrypt-rsa2048:
    acme:
    email: mail@domain.tld
    caserver: https://acme-v02.api.letsencrypt.org/directory
    storage: /etc/traefik/acme.json
    keytype: RSA2048
    httpChallenge:
      entryPoint: web
    tlschallenge: true
letsencrypt-ec384:
  acme:
    email: mail@domain.tld
    storage: /etc/traefik/acme.json
    keyType: EC384
    tlsChallenge: {}

Le traefik.yml dans conf.d :

http:
  services:
    traefik:
      loadBalancer:
        servers:
          - url: "http://localhost:8080"

routers:
  traefik:
    rule: "Host(`traefik.domain.tld`)"
    entryPoints:
      - "web"
    middlewares:
      - "redirect-to-https@file"
    service: "noop@internal"
  traefik-secure:
    rule: "Host(`traefik.domain.tld`)"
    entryPoints:
      - "websecure"
    middlewares:
      - "hsts@file"
      - "security@file"
      - "compression@file"
      - "admin-user@file"
    service: "api@internal"
    tls:
      certResolver: letsencrypt-ec384
      options: mintls13

Le reste des fichiers est identique au tuto. Pour les resolvers je peux garder juste le 3ème et supprimer les 2 autres du coup ?

Merci !

Merci @Wonderfall
Je vais tester de rester uniquement en EC384, si je vois que certains clients ne peuvent pas se connecter je regarderai pour remettre d'autres certificatesresolvers
Pour la redirection effectivement je viens de regarder la doc et j'ai vu ce dont tu parles, je suis parti comme dans leur exemple du coup :

entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
          permanent: true
  websecure:
    address: ":443"

La seule différence avec ton exemple c'est le to: qui pointe vers websecure au lieu de :443 mais ça doit revenir au même vu que websecure pointe vers :443 (et donc si jamais on venait à modifier, pour x raison, le 443 en 4443 on aurait juste à faire une modif sur websecure au lieu de 2 ?)

Je pense que traefik est OK après ces modifs, me reste à essayer d'intégrer une app comme nextcloud ou autre, et une fois que tout sera fonctionnel je passe à la sécurisation