Bonjour,
Merci pour le tuto.
J'ai juste deux petites erreurs que je n'arrive pas à résoudre.

level=error msg="servers transport not found default@internal" entryPointName=websecure routerName=traefik-secure@file

level=error msg="Unable to obtain ACME certificate for domains \"traefik..xx.xx\": unable to generate a certificate for the domains [traefik.xx.xx]: error: one or more domains had a problem:\n[traefik.xx.xx] [traefik.xx.xx] acme: error presenting token: timeout 2021-01-24 15:41:36.984015158 +0000 UTC m=+54.997971025\n" rule="Host(`traefik.xx.xx`)" routerName=traefik-secure@file providerName=letsencrypt-ecdsa.acme

Merci d'avance

Hello, merci pour ton partage.

Petite coquille;

time="2021-02-05T20:55:13Z" level=error msg="middleware \"admins-users@file\" does not exist" routerName=traefik-secure@file entryPointName=websecure
time="2021-02-05T20:55:13Z" level=error msg="middleware \"admins-users@file\" does not exist" entryPointName=websecure routerName=traefik-secure@file

il faut corriger le nom du middleware dans "../traefik/conf.d/auth.yml" ou dans le fichier du service "../traefik/conf.d/traefik.yml" car dans l'un c'est "admin-users" et dans l'autre c'est "admins-users@file".

Peut-être juste rajouter, toujours dans le middleware auth.yml, une étape pour générer un mdp ?

docker run --rm -ti xmartlabs/htpasswd mon_USER mon_MDP > htpasswd
cat htpasswd

Sinon pour Nextcloud, je sais que tu as pris un exemple comme ça pour faire comprendre, mais au cas où, il faut autoriser le dns que tu as personnalisé sinon nextcloud refuse de démarer à partir d'un domaine non approuvé

docker exec --user www-data ID_CONTENEUR php occ config:system:set trusted_domains 2 --value=mon.domaine.com

en tout cas le tuto est super clair, on voit bien que tu n'en es pas à ton 1er

Merci, je commence par la version simple moins secure pour déjà comprendre la base et après je rajouterai les couches sécu
Donc je suis parti sur le fichier traefik.yml fourni par Banip quelques posts au dessus.
J'ai quelques questions comme toujours :

log:
level: INFO
filePath: /etc/traefik/traefik.log

• Il ne faudrait pas ajouter un bind mount pour le répertoire ci-dessus dans le docker-compose (/etc/traefik/traefik.log) ?

• Quelle est la différence entre web et http dans les entrypoints ?

• Quelqu'un utilise un nom de domaine OVH ? J'ai bien suivi les procédures, apparemment c'est un DNS challenge qui est utilisé. J'ai bien configuré mon API OVH mais concernant les variables à passer, est-ce qu'il faut le faire par un fichier ? Si oui sous quelle forme ? Ou directement en variables d'environnement ? Directement dans mon fichier docker-compose ou dans le traefik.yml ?

Merci !

Edit : A moins que je puisse utiliser le challenge HTTP avec OVH, je viens de lire que le DNS challenge n'est pas trop sécurisé car il faut donner des droits particuliers...

NicCo Il ne faudrait pas ajouter un bind mount pour le répertoire ci-dessus dans le docker-compose (/etc/traefik/traefik.log) ?

Si tu veux, tu peux bien sûr.

Quelle est la différence entre web et http dans les entrypoints ?

Tu peux le nommer web ou http, webscure ou https, c'est la même chose, c'est un nom pour le point d'entrée vers respectivement 80 et 443 (HTTP et HTTPS).

A moins que je puisse utiliser le challenge HTTP avec OVH, je viens de lire que le DNS challenge n'est pas trop sécurisé car il faut donner des droits particuliers...

Oui, tu dois laisser un token d'accès à l'API du registar, c'est pas ouf. Je conseille d'utiliser TLS-ALPN-01 que Traefik a l'avantage de supporter (contrairement à nginx/certbot pour l'instant), il suffit simplement de préciser tlsChallenge: {}.

Parfait ça a l'air de fonctionner merci !
Le docker-compose se limite à ça pour le moment (en attendant de mettre en place le socket proxy, le runtime gvisor, le no-new-privileges, etc..), s'il y a des choses importantes à rajouter je suis preneur Même chose pour les autres fichiers

version: "2.4"
  networks:
    frontend:
      external: true
      
services:
  traefik:
    container_name: traefik
    image: traefik:latest
    volumes:
      - ./traefik.yml:/etc/traefik/traefik.yml
      - ./acme/acme.json:/etc/traefik/acme.json
      - ./certs:/etc/traefik/certs
      - ./conf.d:/etc/traefik/conf.d
      - ./traefik2.log:/etc/traefik/traefik2.log
      - /var/run/docker.sock:/var/run/docker.sock
ports:
  - 80:80
  - 443:443
networks:
  - frontend
restart: unless-stopped

Le traefik.yml :

global:
  checkNewVersion: false
  sendAnonymousUsage: false

providers:
  file:
    directory: /etc/traefik/conf.d/
    watch: true

api:
#  insecure: true
  dashboard: true

log:
  level: INFO
  filePath: /etc/traefik/traefik2.log

accessLog: true

entryPoints:
  web:
    address: ":80"
  websecure:
    address: ":443"

certificatesResolvers:
  letsencrypt-ecdsa:
    acme:
      email: mail@domain.tld
      caserver: https://acme-v02.api.letsencrypt.org/directory
      storage: /etc/traefik/acme.json
      keytype: EC384
      httpChallenge:
        entryPoint: web
      tlschallenge: true
  letsencrypt-rsa2048:
    acme:
    email: mail@domain.tld
    caserver: https://acme-v02.api.letsencrypt.org/directory
    storage: /etc/traefik/acme.json
    keytype: RSA2048
    httpChallenge:
      entryPoint: web
    tlschallenge: true
letsencrypt-ec384:
  acme:
    email: mail@domain.tld
    storage: /etc/traefik/acme.json
    keyType: EC384
    tlsChallenge: {}

Le traefik.yml dans conf.d :

http:
  services:
    traefik:
      loadBalancer:
        servers:
          - url: "http://localhost:8080"

routers:
  traefik:
    rule: "Host(`traefik.domain.tld`)"
    entryPoints:
      - "web"
    middlewares:
      - "redirect-to-https@file"
    service: "noop@internal"
  traefik-secure:
    rule: "Host(`traefik.domain.tld`)"
    entryPoints:
      - "websecure"
    middlewares:
      - "hsts@file"
      - "security@file"
      - "compression@file"
      - "admin-user@file"
    service: "api@internal"
    tls:
      certResolver: letsencrypt-ec384
      options: mintls13

Le reste des fichiers est identique au tuto. Pour les resolvers je peux garder juste le 3ème et supprimer les 2 autres du coup ?

Merci !

Merci @Wonderfall
Je vais tester de rester uniquement en EC384, si je vois que certains clients ne peuvent pas se connecter je regarderai pour remettre d'autres certificatesresolvers
Pour la redirection effectivement je viens de regarder la doc et j'ai vu ce dont tu parles, je suis parti comme dans leur exemple du coup :

entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
          permanent: true
  websecure:
    address: ":443"

La seule différence avec ton exemple c'est le to: qui pointe vers websecure au lieu de :443 mais ça doit revenir au même vu que websecure pointe vers :443 (et donc si jamais on venait à modifier, pour x raison, le 443 en 4443 on aurait juste à faire une modif sur websecure au lieu de 2 ?)

Je pense que traefik est OK après ces modifs, me reste à essayer d'intégrer une app comme nextcloud ou autre, et une fois que tout sera fonctionnel je passe à la sécurisation

NicCo La seule différence avec ton exemple c'est le to: qui pointe vers websecure au lieu de :443 mais ça doit revenir au même vu que websecure pointe vers :443 (et donc si jamais on venait à modifier, pour x raison, le 443 en 4443 on aurait juste à faire une modif sur websecure au lieu de 2 ?)

Oui c'est la même chose, moi j'ai précisé :443 car mon conteneur Traefik est rootless et écoute sur le port 4430 (et avec la magie de Docker et du NAT ça devient le port 443 exposé sur mon IP publique). Mais longue histoire

J'aurais juste à créer un app.yml dans le dossier conf.d de traefik avec les infos concernant ma nouvelle app et c'est tout ? Pas besoin de bind mount le dossier conf.d dans le docker-compose.yml de ma nouvelle app ?

Pas besoin non, l'app n'y ferait rien. Traefik communiquera avec ton app via le réseau docker, frontend dans ton cas. Après moi j'utilise encore la configuration dynamique, il faudra voir les exemples de xataz pour la configuration statique, mais c'est l'idée