@Wonderfall De ce que j'ai compris macvlan te permet d'attaquer directement le réseau en bypassant un peu l'hôte en gros. Par contre il n'y a aucune communication entre l'hôte Docker et les containers d'après ce que j'ai lu.
La surface d'attaque est donc limitée je pense. J'ai trouvé un cas d'utilisation pour Jellyfin / Emby et un AdGuard apparemment.
Je vais refaire quelques tests hors Traefik pour voir déjà ce que ça donne, sinon je testerai ta méthode aussi merci

@Wonderfall Je viens de relire la doc de Jellyfin et eux indiquent d'utiliser le host mode à la base. Sauf qu'à priori le host mode n'est pas compatible avec l'utilisation de networks donc pas possible d'utiliser le container en local (avec le DLNA qui fonctionne) et en distant derrière Traefik.
Donc en gros :

• soit je passe tout derrière Traefik (mais est-ce que le fonctionnement est le même qu'à l'extérieur, à savoir que le débit max sera celui de l'upload de ma connexion donc 40Mbps ? Malgré que soit pour une utilisation LAN le flux va sortir et rentrer par ma connexion Internet ?)
• soit j'utilise macvlan pour avoir un Jellyfin complètement opérationnel, avec les éventuels risques de sécurité que ça peut comporter
• soit je me passe du DLNA et du discover (je vais re réfléchir à mon utilisation) et à ce moment-là je peux exposer sur mon réseau local, en activant en plus la règle iptables que tu m'as indiqué

NicCo Moi je pense toujours que tu peux utiliser bridge même pour les ports en local.
Précise l'IP du subnet local comme j'ai montré avant pour voir si ça marche. Et si ça marche pas, tu le fais écouter sur localhost et puis t'utilises nginx pour reverse proxy ça.

Dans tous les cas, je vois difficilement l'intérêt du mode network host, tu peux juste publier les ports de la bonne façon. Et en dernier recours faire des règles iptables manuelles.

Merci je vais tester ça

@Wonderfall (ou quelqu'un d'autre ) j'ai encore une question sur Traefik. Je vais partir sur la solution "faire des réseaux uniques pour chaque lien Traefik <-> conteneur.", autant partir sur une bonne base de sécurité.
Donc pour les réseaux type DB ou Redis, on est OK qu'un réseau internal suffit vu qu'il n'y a pas besoin d'accéder à l'extérieur.
Par contre pour tous les réseaux des apps auxquelles je vais accéder derrière traefik, je peux les créer en internal (vu que c'est traefik qui est en frontal) ou il faut quand même les créer en external ? Et il faut aussi prévoir un réseau dédié à traefik vers l'extérieur ou pas la peine ? Si oui, comment déclarer que traefik va utiliser ce réseau pour les communications depuis et vers l'extérieur ?
Merci !

Donc pour les réseaux type DB ou Redis, on est OK qu'un réseau internal suffit vu qu'il n'y a pas besoin d'accéder à l'extérieur.

Oui, c'est préférable.

Par contre pour tous les réseaux des apps auxquelles je vais accéder derrière traefik, je peux les créer en internal (vu que c'est traefik qui est en frontal) ou il faut quand même les créer en external ?

Le truc c'est que ton conteneur va quand même avoir besoin d'un réseau non-internal, sinon par exemple dans ton cas avec Jellyfin, il pourra pas récupérer des métadonnées pour tes bibliothèques. Ces réseaux-là je les laisserais comme ça.

Du coup pareil pour Traefik, il lui faut au moins un réseau connecté au monde extérieur. Pour ces réseaux-là ne t'embête donc pas à faire des réseaux internal.

NicCo Oui j'ai pas très bien compris, mais le 4ème réseau sera inutile du coup.
Traefik utilise ce label par app que tu veux exposer : traefik.docker.network=mon_reseau

@Wonderfall Oui difficile à expliquer mais en gros il ne faut pas que je crée un réseau où il y aura juste traefik tout seul dedans. Donc dans le cas où j'ai 3 apps avec chacun leur réseau dédié, je déclare ces 3 réseaux dans le docker-compose de traefik. Mais comment savoir lequel des 3 doit être utilisé par traefik pour sortir ? J'en prends un au hasard vu qu'ils sont tous external ?
Et on est obligé de passer par les labels ? On ne peut pas déclarer soit dans le fichier yaml de config statique de traefik, soit dans le fichier yaml de config des services/routers de chaque app ?
Merci.

@Wonderfall Merci, j'ai regardé la doc de traefik et j'ai fouillé un peu sur Google mais difficile de trouver quelqu'un qui a mis en place un réseau par app.
Du coup je ne sais pas trop quoi comme réseau pour traefik quand il y a plusieurs apps avec un réseau chacun.

App1 :

version: "2.4"

networks:
  network1:
    external: true

services:
  app1:
    container_name: app1
    image: app/app1
    labels:
      - traefik.docker.network=network1
    networks:
      - network1
    restart: unless-stopped

App2 :

version: "2.4"

networks:
  network2:
    external: true

services:
  app2:
    container_name: app2
    image: app/app2
    labels:
      - traefik.docker.network=network2
    networks:
      - network2
    restart: unless-stopped

App3 :

version: "2.4"

networks:
  network3:
    external: true

services:
  app3:
    container_name: app3
    image: app/app3
    labels:
      - traefik.docker.network=network3
    networks:
      - network3
    restart: unless-stopped

Traefik :

version: "2.4"

networks:
  network1:
    external: true
  network2:
    external: true
  network3:
    external: true

services:
  traefik:
    container_name: traefik
    image: traefik
    volumes:
      - ./traefik.yml:/etc/traefik/traefik.yml
      - ./acme/acme.json:/etc/traefik/acme.json
      - ./certs:/etc/traefik/certs
      - ./conf.d:/etc/traefik/conf.d
      - /var/run/docker.sock:/var/run/docker.sock
    ports:
      - 80:80
      - 443:443
    networks:
      - network1
      - network2
      - network3
    restart: unless-stopped

Avec ce genre d'environnement, normalement je dois rajouter dans le fichier de configuration traefik.yml quel réseau doit être utilisé par traefik non ? Sur les autres exemples que je trouve un peu partout c'est toujours "web" ou "frontend" donc un seul réseau pour tous, mais dans le cas de plusieurs networks je ne vois pas lequel indiquer dans la conf de traefik :

providers:
  docker:
    network: network1 # ou network2 ou network3

La doc de traefik indique bien

Defines a default docker network to use for connections to all containers.

@Wonderfall Non je n'ai pas encore essayé comme ça, je vais essayer de mettre en place Traefik et les apps pour tester. C'était simplement pour comprendre le fonctionnement de la chose, vu que je n'ai pas réussi jusqu'à maintenant à trouver un cas d'utilisation à plusieurs réseaux (à se demander si Traefik est prévu pour fonctionner ainsi) et vu que la doc indique "un réseau par défaut pour les connections de tous les containeurs" je me posais la question. Mais je vais tester, de toutes façons si ça ne fonctionne pas ça devrait se voir rapidement...

Pour les IP statiques ce n'est pas un problème, j'ai déjà établi un plan d'adressage IP avec tous les réseaux etc donc tant qu'à faire je vais partir sur ça si ça ne fonctionne pas en label je testerai en statique mais je ne pense pas que ce soit qui fasse la différence (et pas d'excuse à avoir, avec tout ce que tu m'aides et puis c'est l'occasion de tester)

Pour le moment ça a l'air de fonctionner

Avec les labels pour chaque réseau ? Cool du coup !

j'en profite aussi pour tester le proxy socket qui fonctionne aussi (par contre pour Portainer par exemple il faut activer plusieurs variables d'environnement, j'espère que niveau sécurité ça ne pose pas de souci mais pas le choix sinon à priori)

Non c'est normal, effectivement Portainer a besoin d'infos supplémentaires qui sont cachées par socket-proxy par défaut. Cependant n'oublie pas que socket-proxy empêche les requêtes POST, donc l'utilité de Portainer en dehors de visionner ses conteneurs est discutable. (Pour ma part je n'aime pas utiliser Portainer.)

A quoi sert l'utilisation du socket sur Traefik ?

Le provider comme son nom l'indique fournit à Traefik informations et configurations de ce qu'il doit faire. Le socket comme provider est parfait pour du plug & play avec les conteneurs, tu peux ajouter/retirer des conteneurs à la volée et Traefik le prendra en compte.

En soit, j'ai aussi des providers docker et file. Docker pour fournir les configurations de mes conteneurs, File pour les configurations style les headers HSTS que j'appelle dans le compose via "@file". Effectivement tu as l'air d'avoir du doublon par contre, si tu mix labels/config statique pour les conteneurs j'imagine que ça peut arriver, je sais pas trop comment tu t'y es pris au final

Wonderfall Pour le moment, j'ai ajouté un
docker:
network:
(nomdureseau)
dans les configs dynamiques (conf.d) pour chaque app (fichiers yaml). Désolé pour la syntaxe je suis sur téléphone.

Pour Portainer, je ne m'en sers pas pour déployer avec mais j'aime bien pour avoir une vue sur mes containers, réseaux, etc... S'il y a mieux je suis preneur

Et niveau config je crée dans conf.d un fichier yaml pour chaque app. Dans ces fichiers je déclare les routers et services en utilisant @file donc je pense qu'il doit me charger via le provider @file et via le provider docker. Mais du coup ce n'est pas la bonne façon de faire ? Il ne faut pas ajouter déclarer les routers/services dans des fichiers dans conf.d ? Ou il ne faut pas utiliser @file ? Si tu as un exemple je suis preneur, je me suis basé sur l'exemple du 1er post en l'adaptant (peut-être mal). Merci !

Wonderfall Je vais tester ça je te tiens au courant. Mais si je désactive docker comme provider ça revient simplement à retirer le socket de ma config, c'est la seule chose que j'ai de configuré dans la section docker.

Et concernant Portainer, c'est surtout la vue des containers, des réseaux, des stacks, etc enfin tout ce qui concerne Docker, je ne sais pas si c'est possible sur Netdata que je vois plutôt comme une supervision basique (je ne l'ai pas encore testé, il faut que je m'y mette)

@Wonderfall Je viens de tester et effectivement le exposedByDefault permet de supprimer les doublons, il ne me reste du coup que les routers/services déclarés dans les fichiers des apps. J'arrive au même résultat que si je supprime entièrement le provider docker.
En résumé :

global:
  checkNewVersion: false
  sendAnonymousUsage: false

providers:
  docker:
    endpoint: "tcp://xxx.xxx.xxx.xxx:2375"
    exposedByDefault: false
  file:
    directory: /etc/traefik/conf.d/
    watch: true

api:
  dashboard: true

Me donne le même résultat que :

global:
  checkNewVersion: false
  sendAnonymousUsage: false

providers:
  file:
    directory: /etc/traefik/conf.d/
    watch: true

api:
  dashboard: true

Par contre si je ne mets pas le exposedByDefault: false j'ai des doublons.

Un exemple de fichier d'app dans conf.d : portainer.yml

docker:
  network: test1

http:
  services:
    portainer:
      loadBalancer:
        servers:
          - url: "http:/xxx.xxx.xxx.xxx:9000"

routers:
  portainer-secure:
    rule: "Host(`portainer.domain.tld`)"
    entryPoints:
      - "websecure"
    middlewares:
      - "hsts@file"
      - "security@file"
      - "compression@file"
    service: "portainer@file"
    tls:
      certResolver: letsencrypt-ec384

Et on retombe sur ce que j'ai indiqué plus haut, sans le exposedByDefault j'ai un doublon qui n'a pas le même nom, pas de TLS, qui a un entrypoint web en plus et dont le provider est docker (au lieu de file)