init
This commit is contained in:
root
18
traefik-repo/readme.MD
Normal file
18
traefik-repo/readme.MD
Normal file
@@ -0,0 +1,18 @@
|
||||
# Traefik docker + api clients
|
||||
|
||||
- [Сам traefik](traefik/readme.MD) + сервис traefik-api для отдачи готовых сертификатов на сторону
|
||||
- [клиент](traefik-api-client/readme.MD) для получения сертификатов через traefik-api по токену
|
||||
- [клиент](traefik-ssh-client/readme.MD) для получаения сертификатов через ssh
|
||||
- [пример](traefik-k8s/readme.MD) деплоя в k8s с автоматическим управлением DNS
|
||||
|
||||
## Видео к курсу
|
||||
|
||||
- [видео]
|
||||
- [презентация]
|
||||
|
||||
## Автор
|
||||
|
||||
- **Vassiliy Yegorov** [vasyakrg](https://github.com/vasyakrg)
|
||||
- [сайт](https://realmanual.ru)
|
||||
- [канал в телеге](https://t.me/realmanual)
|
||||
- [чат в телеге для вопросов](https://t.me/realmanual_group)
|
||||
12
traefik-repo/traefik-api-client/.env.example
Normal file
12
traefik-repo/traefik-api-client/.env.example
Normal file
@@ -0,0 +1,12 @@
|
||||
API_SERVER=https://traefik-api.domain.ru/api/v1/certman/getcerts
|
||||
|
||||
TOKEN=
|
||||
DOMAIN=
|
||||
|
||||
DEBUG=false
|
||||
|
||||
CERT_NAME=cert.pem
|
||||
KEY_NAME=key.pem
|
||||
|
||||
PATH_TO_COPY=/etc/letsencrypt
|
||||
SERVICE_RESTART=nginx
|
||||
3
traefik-repo/traefik-api-client/.gitignore
vendored
Normal file
3
traefik-repo/traefik-api-client/.gitignore
vendored
Normal file
@@ -0,0 +1,3 @@
|
||||
.env
|
||||
*.pem
|
||||
*.bak
|
||||
73
traefik-repo/traefik-api-client/getcert.sh
Normal file
73
traefik-repo/traefik-api-client/getcert.sh
Normal file
@@ -0,0 +1,73 @@
|
||||
#!/bin/bash
|
||||
|
||||
echo "[ START ] on $(date +'%d-%m-%Y_%H-%M')"
|
||||
|
||||
function checkMD() {
|
||||
local new=$1
|
||||
local old=$2
|
||||
|
||||
[[ ! -f ${old} ]] && return 1
|
||||
|
||||
$(diff $old $new > /dev/null)
|
||||
return $?
|
||||
}
|
||||
|
||||
[[ ! -f .env ]] && {
|
||||
cp .env.example .env
|
||||
apt update && apt install jq curl -y
|
||||
[[ ! $? -eq 0 ]] && exit 1
|
||||
|
||||
echo "Init complete, please check env in .env and rerun script again"
|
||||
echo "==="
|
||||
cat .env
|
||||
echo "==="
|
||||
exit 0
|
||||
}
|
||||
|
||||
source .env
|
||||
|
||||
CP=0
|
||||
case ${DEBUG} in
|
||||
true) DEBUG_CURL="-v";;
|
||||
false) DEBUG_CURL="-s";;
|
||||
*) DEBUG_CURL="-s";;
|
||||
esac
|
||||
|
||||
[[ ! -z $1 ]] && DOMAIN=$1
|
||||
|
||||
[[ ! -d ${PATH_TO_COPY} ]] && {
|
||||
echo "Dir for cert nof found, created"
|
||||
mkdir $PATH_TO_COPY || exit 1
|
||||
}
|
||||
|
||||
CERT=$(curl ${DEBUG_CURL} $API_SERVER -X POST -H "Authorization: Bearer $TOKEN" --form "domain=$DOMAIN" | jq -r '.data.chain')
|
||||
[[ ! $? -eq 0 ]] && exit 1
|
||||
echo -e $CERT > $CERT_NAME
|
||||
|
||||
KEY=$(curl ${DEBUG_CURL} $API_SERVER -X POST -H "Authorization: Bearer $TOKEN" --form "domain=$DOMAIN" | jq -r '.data.key')
|
||||
[[ ! $? -eq 0 ]] && exit 1
|
||||
echo -e $KEY > $KEY_NAME
|
||||
|
||||
CERTS=( $CERT_NAME $KEY_NAME )
|
||||
|
||||
for FILE in ${CERTS[*]}; do
|
||||
if ! checkMD $FILE $PATH_TO_COPY/$FILE; then
|
||||
cp $PATH_TO_COPY/$FILE $PATH_TO_COPY/$FILE.bak
|
||||
cp $FILE $PATH_TO_COPY/$FILE
|
||||
[[ $? -eq 0 ]] && ((CP=CP+1))
|
||||
echo "$FILE updated"
|
||||
else
|
||||
echo "update $FILE not needed"
|
||||
fi
|
||||
done
|
||||
|
||||
[[ ! $CP == 0 ]] && {
|
||||
systemctl restart $SERVICE_RESTART
|
||||
[[ ! $? -eq 0 ]] && echo "service not restarted, restart manually"
|
||||
}
|
||||
|
||||
echo "delete tempary files"
|
||||
rm $CERT_NAME $KEY_NAME
|
||||
|
||||
echo "[ END ] on $(date +'%d-%m-%Y_%H-%M')"
|
||||
echo ""
|
||||
30
traefik-repo/traefik-api-client/readme.MD
Normal file
30
traefik-repo/traefik-api-client/readme.MD
Normal file
@@ -0,0 +1,30 @@
|
||||
# Traefik-client
|
||||
|
||||
- Вытягивает с [traefik-api](../traefik/readme.MD) сертификаты и перезапускает нужный сервис
|
||||
|
||||
1. Можно запустить с указанием домена, это переназначит поведение, указанное в `.env`
|
||||
|
||||
**Пример**:
|
||||
|
||||
```
|
||||
./getcert.sh domain.ru
|
||||
```
|
||||
|
||||
2. Первый запуск создаст `.env` и заполнит его дефолтными параметрами, после чего скрипт завершит работу и попросит дозаполнить переменные.
|
||||
|
||||
**Нужно указать:**
|
||||
|
||||
```
|
||||
API_SERVER=https://traefik-api.domain.ru/api/v1/certman/getcerts - полный путь к АПИ и методу
|
||||
TOKEN= - токен
|
||||
DOMAIN= - домен, сертификаты которого надо захватить
|
||||
DEBUG=false - определяет уровень логирования curl
|
||||
CERT_NAME=cert.pem - определяет имя файла создаваемого в нужной точке на сервере
|
||||
KEY_NAME=key.pem - определяет имя файла создаваемого в нужной точке на сервере
|
||||
PATH_TO_COPY=/etc/letsencrypt - определяет точку, куда нужно сложить сертификаты, без / на конце
|
||||
SERVICE_RESTART=nginx - определяет какой сервис нужно рестартануть после подмены ключей
|
||||
```
|
||||
|
||||
## Примечания
|
||||
- Ключи не заменяются, если они идентичны.
|
||||
- Сервис не перезапустится, если ключи не изменялись с моменты последнего импорта.
|
||||
6
traefik-repo/traefik-k8s/1.ingress-controller.yaml
Normal file
6
traefik-repo/traefik-k8s/1.ingress-controller.yaml
Normal file
@@ -0,0 +1,6 @@
|
||||
apiVersion: networking.k8s.io/v1
|
||||
kind: IngressClass
|
||||
metadata:
|
||||
name: traefik-lb
|
||||
spec:
|
||||
controller: traefik.io/ingress-controller
|
||||
71
traefik-repo/traefik-k8s/2.external-dns.yaml
Normal file
71
traefik-repo/traefik-k8s/2.external-dns.yaml
Normal file
@@ -0,0 +1,71 @@
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: external-dns
|
||||
namespace: external-dns
|
||||
spec:
|
||||
replicas: 1
|
||||
selector:
|
||||
matchLabels:
|
||||
app: external-dns
|
||||
strategy:
|
||||
type: Recreate
|
||||
template:
|
||||
metadata:
|
||||
labels:
|
||||
app: external-dns
|
||||
spec:
|
||||
serviceAccountName: external-dns
|
||||
containers:
|
||||
- name: external-dns
|
||||
image: k8s.gcr.io/external-dns/external-dns:v0.7.6
|
||||
args:
|
||||
- --source=ingress # ingress is also possible, or service
|
||||
- --domain-filter=domain.ru # (optional) limit to only example.com domains; change to match the zone created above.
|
||||
- --provider=hetzner # [link](https://github.com/kubernetes-sigs/external-dns)
|
||||
- --txt-owner-id=bttrm-eks-dev-1-external-dns # Key from you mind
|
||||
- --log-level=info
|
||||
- --interval=30s
|
||||
env:
|
||||
- name: HETZNER_TOKEN
|
||||
value: "" # real token from API Dashboard
|
||||
---
|
||||
apiVersion: v1
|
||||
kind: ServiceAccount
|
||||
metadata:
|
||||
name: external-dns
|
||||
namespace: external-dns
|
||||
---
|
||||
apiVersion: rbac.authorization.k8s.io/v1
|
||||
kind: ClusterRole
|
||||
metadata:
|
||||
name: external-dns
|
||||
rules:
|
||||
- apiGroups: [""]
|
||||
resources: ["services","endpoints","pods"]
|
||||
verbs: ["get","watch","list"]
|
||||
- apiGroups: ["extensions","networking.k8s.io"]
|
||||
resources: ["ingresses"]
|
||||
verbs: ["get","watch","list"]
|
||||
- apiGroups: ["networking.k8s.io"]
|
||||
resources: ["ingresses"]
|
||||
verbs: ["get", "list", "update", "patch"]
|
||||
- apiGroups: [""]
|
||||
resources: ["pods"]
|
||||
verbs: ["get","watch","list"]
|
||||
- apiGroups: [""]
|
||||
resources: ["nodes"]
|
||||
verbs: ["list"]
|
||||
---
|
||||
apiVersion: rbac.authorization.k8s.io/v1
|
||||
kind: ClusterRoleBinding
|
||||
metadata:
|
||||
name: external-dns-viewer
|
||||
roleRef:
|
||||
apiGroup: rbac.authorization.k8s.io
|
||||
kind: ClusterRole
|
||||
name: external-dns
|
||||
subjects:
|
||||
- kind: ServiceAccount
|
||||
name: external-dns
|
||||
namespace: external-dns
|
||||
102
traefik-repo/traefik-k8s/3.deploy.yaml
Normal file
102
traefik-repo/traefik-k8s/3.deploy.yaml
Normal file
@@ -0,0 +1,102 @@
|
||||
apiVersion: apps/v1
|
||||
kind: Deployment
|
||||
metadata:
|
||||
name: nginx
|
||||
namespace: test
|
||||
spec:
|
||||
replicas: 1
|
||||
selector:
|
||||
matchLabels:
|
||||
app: nginx
|
||||
template:
|
||||
metadata:
|
||||
labels:
|
||||
app: nginx
|
||||
spec:
|
||||
containers:
|
||||
- image: nginx
|
||||
name: nginx
|
||||
ports:
|
||||
- containerPort: 80
|
||||
---
|
||||
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata:
|
||||
name: nginx-service
|
||||
namespace: test
|
||||
spec:
|
||||
selector:
|
||||
app: nginx
|
||||
type: NodePort
|
||||
ports:
|
||||
- protocol: TCP
|
||||
port: 80
|
||||
targetPort: 80
|
||||
nodePort: 31080
|
||||
---
|
||||
|
||||
apiVersion: v1
|
||||
kind: Service
|
||||
metadata:
|
||||
name: nginx-endpoint
|
||||
namespace: test
|
||||
annotations:
|
||||
traefik.ingress.kubernetes.io/service.serversscheme: "http"
|
||||
traefik.ingress.kubernetes.io/service.passhostheader: "true"
|
||||
spec:
|
||||
type: ClusterIP
|
||||
clusterIP: None
|
||||
ports:
|
||||
- protocol: TCP
|
||||
port: 80
|
||||
targetPort: 80
|
||||
|
||||
---
|
||||
|
||||
apiVersion: v1
|
||||
kind: Endpoints
|
||||
metadata:
|
||||
name: nginx-endpoint
|
||||
namespace: test
|
||||
subsets:
|
||||
- addresses:
|
||||
- ip: 192.168.1.201
|
||||
ports:
|
||||
- port: 31080
|
||||
- addresses:
|
||||
- ip: 192.168.1.202
|
||||
ports:
|
||||
- port: 31080
|
||||
- addresses:
|
||||
- ip: 192.168.1.203
|
||||
ports:
|
||||
- port: 31080
|
||||
---
|
||||
|
||||
apiVersion: networking.k8s.io/v1
|
||||
kind: Ingress
|
||||
metadata:
|
||||
labels:
|
||||
baremetal-ingress: traefik-nsk
|
||||
annotations:
|
||||
kubernetes.io/ingress.class: traefik-lb
|
||||
external-dns.alpha.kubernetes.io/hostname: lb.domain.ru
|
||||
traefik.ingress.kubernetes.io/router.entrypoints: https
|
||||
traefik.ingress.kubernetes.io/router.tls: "true"
|
||||
traefik.ingress.kubernetes.io/router.tls.certresolver: letsEncrypt
|
||||
name: nginx-ingress
|
||||
namespace: test
|
||||
spec:
|
||||
rules:
|
||||
- host: lb.domain.ru
|
||||
http:
|
||||
paths:
|
||||
- pathType: Prefix
|
||||
path: "/"
|
||||
backend:
|
||||
service:
|
||||
name: nginx-endpoint
|
||||
port:
|
||||
number: 80
|
||||
---
|
||||
5
traefik-repo/traefik-k8s/readme.MD
Normal file
5
traefik-repo/traefik-k8s/readme.MD
Normal file
@@ -0,0 +1,5 @@
|
||||
# Пример деплоя в связке с Traefik
|
||||
|
||||
- создаем ингресс-контроллер
|
||||
- подключаем сервис для автоматического управления внешним DNS
|
||||
- деплоим приложение, учитывая то, что там надо запустить еще один сервис (без селектора на приложение) и переопределить для него эндпоинты с адресами нод кластера и нод-портами на них
|
||||
16
traefik-repo/traefik-ssh-client/getcert.sh
Normal file
16
traefik-repo/traefik-ssh-client/getcert.sh
Normal file
@@ -0,0 +1,16 @@
|
||||
#!/bin/bash
|
||||
|
||||
source .env
|
||||
|
||||
echo "[ START ] on $(date +'%d-%m-%Y_%H-%M')"
|
||||
|
||||
scp ${REMOTE_TRAEFIK}:${REMOTE_PATH}/${DOMAIN}/cert.pem ${DEST_PATH}/${PEM}
|
||||
[ ! $? ] && exit 1
|
||||
scp ${REMOTE_TRAEFIK}:${REMOTE_PATH}/${DOMAIN}/privkey.pem ${DEST_PATH}/${KEY}
|
||||
[ ! $? ] && exit 1
|
||||
|
||||
systemctl restart $SERVICE_RESTART
|
||||
[[ ! $? -eq 0 ]] && echo "service not restarted, you need restart manually"
|
||||
|
||||
echo "[ END ]"
|
||||
echo ""
|
||||
23
traefik-repo/traefik-ssh-client/readme.MD
Normal file
23
traefik-repo/traefik-ssh-client/readme.MD
Normal file
@@ -0,0 +1,23 @@
|
||||
# Traefik-client
|
||||
|
||||
- Вытягивает с [traefik-api](../traefik/readme.MD) сертификаты через `ssh`.
|
||||
- Перезапускает нужный сервис
|
||||
|
||||
1. Заполняем `.env` файл нужными значениями.
|
||||
2. Генерируем на машине, которой нужны сертификаты, ssh-ключ, чтобы ходить на машину с `traefik`
|
||||
|
||||
```
|
||||
ssh-keygen
|
||||
```
|
||||
|
||||
3. копируем их на машину с `traefik`
|
||||
|
||||
```
|
||||
ssh-copy-id root@traefik_ip
|
||||
```
|
||||
|
||||
4. настраиваем `crontab` на регулярные обновления
|
||||
|
||||
```
|
||||
30 07 * *\1 * cd /srv/services/traefik-client/ && ./getcert.sh
|
||||
```
|
||||
3
traefik-repo/traefik/.env.example
Normal file
3
traefik-repo/traefik/.env.example
Normal file
@@ -0,0 +1,3 @@
|
||||
DOMAIN=traefik.domain.ru
|
||||
DOMAIN_API=traefik-api.domain.ru
|
||||
ADMIN_TOKEN=123123
|
||||
7
traefik-repo/traefik/.gitignore
vendored
Normal file
7
traefik-repo/traefik/.gitignore
vendored
Normal file
@@ -0,0 +1,7 @@
|
||||
acme.json
|
||||
stdout.log
|
||||
certs/*
|
||||
api/logs/*
|
||||
/logs/*
|
||||
basic.auth
|
||||
.env
|
||||
3
traefik-repo/traefik/data/basic.auth.example
Normal file
3
traefik-repo/traefik/data/basic.auth.example
Normal file
@@ -0,0 +1,3 @@
|
||||
# admin \ admin
|
||||
|
||||
admin:$apr1$edqYaaX4$LcYGU242kPrNQVKBZpQ8x.
|
||||
6
traefik-repo/traefik/data/custom/middlewares.yml
Normal file
6
traefik-repo/traefik/data/custom/middlewares.yml
Normal file
@@ -0,0 +1,6 @@
|
||||
http:
|
||||
middlewares:
|
||||
redirect-to-https:
|
||||
redirectScheme:
|
||||
scheme: https
|
||||
permanent: true
|
||||
15
traefik-repo/traefik/data/custom/pve.domainru.yml.example
Normal file
15
traefik-repo/traefik/data/custom/pve.domainru.yml.example
Normal file
@@ -0,0 +1,15 @@
|
||||
tcp:
|
||||
routers:
|
||||
pve:
|
||||
entryPoints:
|
||||
- https
|
||||
rule: "HostSNI(`pve.domain.ru`)"
|
||||
service: pve-service
|
||||
tls:
|
||||
certResolver: letsEncrypt
|
||||
passthrough: true
|
||||
services:
|
||||
pve-service:
|
||||
loadBalancer:
|
||||
servers:
|
||||
- address: 192.168.1.2:8006
|
||||
32
traefik-repo/traefik/data/custom/rke.domain.ru.yml.example
Normal file
32
traefik-repo/traefik/data/custom/rke.domain.ru.yml.example
Normal file
@@ -0,0 +1,32 @@
|
||||
http:
|
||||
routers:
|
||||
rke:
|
||||
entryPoints:
|
||||
- https
|
||||
rule: Host(`rke.domain.ru`)
|
||||
service: rke-service
|
||||
tls:
|
||||
certResolver: letsEncrypt
|
||||
services:
|
||||
rke-service:
|
||||
loadBalancer:
|
||||
servers:
|
||||
- url: http://192.168.9.200
|
||||
passHostHeader: true
|
||||
|
||||
tcp:
|
||||
routers:
|
||||
rke-api:
|
||||
entryPoints:
|
||||
- k8s-api
|
||||
rule: "HostSNI(`*`)"
|
||||
service: rke-api-service
|
||||
tls:
|
||||
passthrough: true
|
||||
services:
|
||||
rke-api-service:
|
||||
loadBalancer:
|
||||
servers:
|
||||
- address: 192.168.9.201:6443
|
||||
- address: 192.168.9.202:6443
|
||||
- address: 192.168.9.203:6443
|
||||
@@ -0,0 +1,20 @@
|
||||
http:
|
||||
routers:
|
||||
s3-minio:
|
||||
entryPoints:
|
||||
- https
|
||||
rule: Host(`s3.domain.ru`)
|
||||
service: s3-minio-service
|
||||
tls:
|
||||
certResolver: letsEncrypt
|
||||
services:
|
||||
s3-minio-service:
|
||||
loadBalancer:
|
||||
healthCheck:
|
||||
path: /health/live
|
||||
scheme: http
|
||||
servers:
|
||||
- url: http://192.168.1.3:9000
|
||||
- url: http://192.168.1.4:9000
|
||||
- url: http://192.168.1.5:9000
|
||||
- url: http://192.168.1.6:9000
|
||||
54
traefik-repo/traefik/data/traefik.yml
Normal file
54
traefik-repo/traefik/data/traefik.yml
Normal file
@@ -0,0 +1,54 @@
|
||||
global:
|
||||
checkNewVersion: true
|
||||
|
||||
# pilot:
|
||||
# token: ""
|
||||
|
||||
serversTransport:
|
||||
insecureSkipVerify: true
|
||||
|
||||
api:
|
||||
dashboard: true
|
||||
|
||||
entryPoints:
|
||||
http:
|
||||
address: ":80"
|
||||
https:
|
||||
address: ":443"
|
||||
# k8s-api:
|
||||
# address: ":6443"
|
||||
# metrics:
|
||||
# address: ":8082"
|
||||
|
||||
# metrics:
|
||||
# prometheus:
|
||||
# entryPoint: metrics
|
||||
|
||||
providers:
|
||||
docker:
|
||||
endpoint: "unix:///var/run/docker.sock"
|
||||
exposedByDefault: false
|
||||
# file:
|
||||
# directory: /custom
|
||||
# watch: true
|
||||
# kubernetesIngress:
|
||||
# endpoint: "https://rke.domain.ru/k8s/clusters/c-xxxxx"
|
||||
# token: "" # Token from Rancher
|
||||
# ingressClass: "traefik-lb"
|
||||
# ingressEndpoint:
|
||||
# ip: "" # you external IP
|
||||
|
||||
certificatesResolvers:
|
||||
letsEncrypt:
|
||||
acme:
|
||||
email: vasyakrg@gmail.com
|
||||
storage: acme.json
|
||||
httpChallenge:
|
||||
entryPoint: http
|
||||
hetzner:
|
||||
acme:
|
||||
email: vasyakrg@gmail.com
|
||||
storage: acme-hetzner.json
|
||||
dnsChallenge:
|
||||
provider: hetzner
|
||||
delayBeforeCheck: 30
|
||||
66
traefik-repo/traefik/docker-compose.yml
Normal file
66
traefik-repo/traefik/docker-compose.yml
Normal file
@@ -0,0 +1,66 @@
|
||||
version: '3.7'
|
||||
services:
|
||||
traefik:
|
||||
image: traefik
|
||||
container_name: traefik
|
||||
restart: unless-stopped
|
||||
security_opt:
|
||||
- no-new-privileges:true
|
||||
ports:
|
||||
- 80:80
|
||||
- 443:443
|
||||
# - 6443:6443
|
||||
environment:
|
||||
- HETZNER_API_KEY: ${HETZNER_API_KEY}
|
||||
volumes:
|
||||
- /etc/localtime:/etc/localtime:ro
|
||||
- /var/run/docker.sock:/var/run/docker.sock:ro
|
||||
- ./data/traefik.yml:/traefik.yml:ro
|
||||
- ./data/acme.json:/acme.json
|
||||
# - ./data/custom/:/custom/:ro
|
||||
# - ./data/basic.auth:/basic.auth
|
||||
labels:
|
||||
- "traefik.enable=true"
|
||||
- "traefik.http.routers.traefik.entrypoints=https"
|
||||
- "traefik.http.routers.traefik.rule=Host(`${DOMAIN}`)"
|
||||
- "traefik.http.routers.traefik.tls=true"
|
||||
- "traefik.http.routers.traefik.tls.certresolver=letsEncrypt"
|
||||
- "traefik.http.routers.traefik.service=api@internal"
|
||||
- "traefik.http.services.traefik-traefik.loadbalancer.server.port=888"
|
||||
# - "traefik.http.routers.traefik.middlewares=traefik-auth"
|
||||
# - "traefik.http.middlewares.traefik-auth.basicAuth.usersFile=/basic.auth"
|
||||
|
||||
# global redirect to https
|
||||
- "traefik.http.routers.http-catchall.rule=hostregexp(`{host:.+}`)"
|
||||
- "traefik.http.routers.http-catchall.entrypoints=http"
|
||||
- "traefik.http.routers.http-catchall.middlewares=redirect-to-https"
|
||||
- "traefik.http.middlewares.redirect-to-https.redirectscheme.scheme=https"
|
||||
networks:
|
||||
- webproxy
|
||||
|
||||
# api:
|
||||
# image: vasyakrg/traefik-api:latest
|
||||
# container_name: traefik_api
|
||||
# restart: unless-stopped
|
||||
# labels:
|
||||
# - "traefik.enable=true"
|
||||
# - "traefik.http.routers.traefik-api.entrypoints=https"
|
||||
# - "traefik.http.routers.traefik-api.rule=Host(`${DOMAIN_API}`)"
|
||||
# - "traefik.http.routers.traefik-api.tls=true"
|
||||
# - "traefik.http.routers.traefik-api.tls.certresolver=letsEncrypt"
|
||||
# - "traefik.http.services.traefik-api-service.loadbalancer.server.port=80"
|
||||
# - "traefik.docker.network=webproxy"
|
||||
# environment:
|
||||
# APP_DEBUG: "true"
|
||||
# APP_ENV: "production"
|
||||
# APP_URL: "${DOMAIN_API}"
|
||||
# ADMIN_TOKEN: ${ADMIN_TOKEN}
|
||||
# volumes:
|
||||
# - ./logs:/var/log/apache2
|
||||
# - ./certs:/etc/letsencrypt/live/
|
||||
# networks:
|
||||
# - webproxy
|
||||
|
||||
networks:
|
||||
webproxy:
|
||||
name: webproxy
|
||||
30
traefik-repo/traefik/dumper.sh
Normal file
30
traefik-repo/traefik/dumper.sh
Normal file
@@ -0,0 +1,30 @@
|
||||
#!/bin/bash
|
||||
|
||||
FOLDER_EXPORT=${1:-certs}
|
||||
|
||||
# get name - .letsEncrypt.Certificates | .[0] | .domain.main
|
||||
# get key - .letsEncrypt.Certificates | .[0] | .key
|
||||
# get cert - .letsEncrypt.Certificates | .[0] | .certificate
|
||||
|
||||
ACME=data/acme.json
|
||||
|
||||
LENGTH=$(cat ${ACME} | jq '.letsEncrypt.Certificates | length')
|
||||
|
||||
mkdir -p ${FOLDER_EXPORT}
|
||||
|
||||
i=1
|
||||
while [ $i != ${LENGTH} ]
|
||||
do
|
||||
|
||||
name=$(cat ${ACME} | jq -r ".letsEncrypt.Certificates | .[${i}] | .domain.main")
|
||||
key=$(cat ${ACME} | jq -r ".letsEncrypt.Certificates | .[${i}] | .key")
|
||||
cert=$(cat ${ACME} | jq -r ".letsEncrypt.Certificates | .[${i}] | .certificate")
|
||||
|
||||
echo "export ${name}"
|
||||
mkdir -p ${FOLDER_EXPORT}/${name}
|
||||
echo $key | base64 --decode > ${FOLDER_EXPORT}/${name}/privkey.pem
|
||||
echo $cert | base64 --decode > ${FOLDER_EXPORT}/${name}/cert.pem
|
||||
echo "null" > ${FOLDER_EXPORT}/${name}/fullchain.pem
|
||||
|
||||
((i++))
|
||||
done
|
||||
6
traefik-repo/traefik/init.sh
Executable file
6
traefik-repo/traefik/init.sh
Executable file
@@ -0,0 +1,6 @@
|
||||
#!/bin/bash
|
||||
|
||||
[ ! -f .env ] && cp .env.example .env
|
||||
|
||||
touch data/acme.json
|
||||
chmod 600 data/acme.json
|
||||
22
traefik-repo/traefik/pve-update.sh
Normal file
22
traefik-repo/traefik/pve-update.sh
Normal file
@@ -0,0 +1,22 @@
|
||||
#!/bin/bash
|
||||
|
||||
DOMAIN=pve.domain.ru
|
||||
|
||||
PEM=pveproxy-ssl.pem
|
||||
KEY=pveproxy-ssl.key
|
||||
DEST_PATH=/etc/pve/local
|
||||
|
||||
SERVICE_RESTART=pveproxy
|
||||
|
||||
echo "[ START ] on $(date +'%d-%m-%Y_%H-%M')"
|
||||
|
||||
cp certs/${DOMAIN}/cert.pem ${DEST_PATH}/${PEM}
|
||||
cp certs/${DOMAIN}/privkey.pem ${DEST_PATH}/${KEY}
|
||||
|
||||
SERVICE_RESTART=pveproxy
|
||||
|
||||
systemctl restart $SERVICE_RESTART
|
||||
[[ ! $? -eq 0 ]] && echo "service not restarted, restart manually"
|
||||
|
||||
echo "[ END ] on $(date +'%d-%m-%Y_%H-%M')"
|
||||
echo ""
|
||||
135
traefik-repo/traefik/readme.MD
Normal file
135
traefik-repo/traefik/readme.MD
Normal file
@@ -0,0 +1,135 @@
|
||||
# Traefik server for docker
|
||||
|
||||
- поднимает траефик в докере
|
||||
- позволяет выпускать наружу другие сервисы как в докере, так и из локальной сети подставляя валидные SSL сертификаты
|
||||
- traefik-api умеет отдавать сертификаты по запросу через `токен`
|
||||
|
||||
## Настройка
|
||||
|
||||
- заполнить `.env` из `.env.example`
|
||||
- запустить `./init.sh` (делается первый и единственный раз)
|
||||
- запустить сервис
|
||||
|
||||
```
|
||||
docker-compose up -d
|
||||
```
|
||||
|
||||
- добавить в крон дампер, который из файла `acme.json` вытягивает и раскладывает сертификаты по папкам с названием доменов (нужно, что бы корректно работал `traefik-api`)
|
||||
|
||||
```
|
||||
25 07 * *\1 * cd /srv/services/traefik/ && ./dumper.sh >> /var/log/traefik_api.log
|
||||
```
|
||||
|
||||
**Внимание!**, что бы правильно работал `dumper.sh` в системе должна быть установлена утилита `jq`
|
||||
|
||||
```
|
||||
apt install jq - для Debian\Ubuntu
|
||||
brew install jq - для MacOS
|
||||
```
|
||||
|
||||
## Внешняя защита
|
||||
|
||||
- Так как сам сервис trafik доступен из вне, его так же логично закрыть хотя бы basic auth
|
||||
- в файле docker-compose.yml раскомментим строки:
|
||||
|
||||
```
|
||||
- ./data/basic.auth:/basic.auth
|
||||
- "traefik.http.middlewares.traefik-auth.basicAuth.usersFile=/basic.auth"
|
||||
- "traefik.http.routers.traefik.middlewares=traefik-auth"
|
||||
```
|
||||
|
||||
в папку `data` сгенерим файлик `basic.auth` c логином и паролем
|
||||
|
||||
```
|
||||
htpasswd -c data/basic.auth admin
|
||||
```
|
||||
|
||||
|
||||
## Докерные сервисы
|
||||
|
||||
- запускаем нужный контейнер с правильно выставленными `лейблами`
|
||||
- контейнер должен быть в том числе подключен к сети `webproxy`
|
||||
|
||||
**Пример**:
|
||||
|
||||
```
|
||||
version: '3.7'
|
||||
services:
|
||||
grafana:
|
||||
container_name: grafana
|
||||
image: grafana/grafana:latest
|
||||
restart: always
|
||||
labels:
|
||||
- "traefik.enable=true"
|
||||
- "traefik.http.routers.grafana.entrypoints=https"
|
||||
- "traefik.http.routers.grafana.rule=Host(`grafana.domain.ru`)"
|
||||
- "traefik.http.routers.grafana.tls=true"
|
||||
- "traefik.http.routers.grafana.tls.certresolver=letsEncrypt"
|
||||
- "traefik.http.services.grafana-service.loadbalancer.server.port=3000"
|
||||
- "traefik.docker.network=webproxy"
|
||||
environment:
|
||||
- GF_SECURITY_ADMIN_PASSWORD=${GF_SECURITY_ADMIN_PASSWORD}
|
||||
- GF_SECURITY_ADMIN_USER=${GF_SECURITY_ADMIN_USER}
|
||||
- GF_AUTH_ANONYMOUS_ENABLED=false
|
||||
- GF_USERS_ALLOW_SIGN_UP=false
|
||||
- GF_USERS_ALLOW_ORG_CREATE=false
|
||||
volumes:
|
||||
- grafana:/var/lib/grafana
|
||||
expose:
|
||||
- 3000
|
||||
networks:
|
||||
- grafana_net
|
||||
- webproxy
|
||||
```
|
||||
|
||||
## Кастомные сервисы
|
||||
|
||||
- примеры кастомных сервисов (читать - сервисы не в докере, а в локальной сети) лежат в папке `data/custom`
|
||||
- файл должен иметь вид `name.yml` и содержать в себе правильный контекст (проверить ошибки применения можно через `docker log <traefik_container>`)
|
||||
- перезапускать траефик, что бы применить новые файлы `не нужно!`
|
||||
- если сервис больше не нужен, файл удаляется руками или переносится в папку disabled (опять же траефик применяет изменения налету)
|
||||
|
||||
## Traefik API
|
||||
|
||||
- Позволяет отдавать сертификаты в [traefik-api-client](../traefik-api-client/readme.MD) или по запросу
|
||||
- В `.env` в переменной `ADMIN_TOKEN` указываем наш стойкий токен
|
||||
|
||||
### Методы для работы с API:
|
||||
|
||||
#### авторизация:
|
||||
|
||||
```
|
||||
'headers' => [
|
||||
'Authorization' => 'Bearer ' . $TOKEN,
|
||||
]
|
||||
```
|
||||
|
||||
#### проверка, что у traefik есть нужный домен:
|
||||
|
||||
```
|
||||
curl -s --request POST 'https://traefik-api.domain.ru/api/v1/certman/getdomain' \
|
||||
--header 'Authorization: Bearer <token>' \
|
||||
--form 'domain=domain.ru'
|
||||
```
|
||||
|
||||
#### запрос ключей:
|
||||
|
||||
```
|
||||
curl -s --request POST 'https://traefik-api.domain.ru/api/v1/certman/getcerts' \
|
||||
--header 'Authorization: Bearer <token>' \
|
||||
--form 'domain=domain.ru'
|
||||
```
|
||||
|
||||
#### корректный вывод будет такой:
|
||||
|
||||
```
|
||||
{
|
||||
"success": true,
|
||||
"data": {
|
||||
"crt": "-----BEGIN CERTIFICATE-----\\...\\-----END CERTIFICATE-----",
|
||||
"key": "-----BEGIN PRIVATE KEY-----\\...\\-----END PRIVATE KEY-----",
|
||||
"chain": "-----BEGIN CERTIFICATE-----\\...\\-----END CERTIFICATE-----"
|
||||
},
|
||||
"message": "OK"
|
||||
}
|
||||
```
|
||||
Reference in New Issue
Block a user