Контейнер "Traefik" (на RB5009)

Я только начинаю осваивать Traefik. Благодаря твоим советам, я тоже установил его на свой Mikrotik. Пока не всё понял, но первое, что меня напрягает — не могу настроить контейнер/Mikrotik так, чтобы иметь доступ к веб-интерфейсу Traefik на порту 80. Сейчас доступ возможен только через 8080, а это не очень удобно. Пока что Traefik нужен мне только в локалке для экспериментов. И даже если понадобится для более серьёзных задач, вряд ли захочу разделять доступ по порту 8080. В чём может быть проблема — в правилах NAT или в настройках traefik.yaml? Сейчас у меня минимальная конфигурация traefik.yaml с логом:  
level: DEBUG

api:  
 dashboard: true  
 insecure: true

entryPoints:  
 web:  
   address: ":80"  
 websecure:  
   address: ":443"  
 traefik:  
   address: ":8080"

providers:  
 file:  
   directory: "/etc/traefik"  
   watch: true

Не знаю, кому это поможет, но мне удалось запустить Traefik на RB1100 (который на самом деле ARM32) с использованием этого образа: https://hub.docker.com/_/traefik. Удалось настроить его как CORS-прокси для RouterOS (похоже на NGNIX, который у меня был, только Traefik кажется «более современным» и гибким).

Хотя Traefik запускается легко, его UI показывает только статус, а не конфигурацию, поэтому чтобы что-то сделать — нужно загрузить «статическую конфигурацию» (по терминологии Traefik). Эту конфигурацию можно передать через traefik.yaml файл в /container/mount, через опцию «cmd» или через переменные окружения.

Но чтобы реально что-то полезное сделать, придётся либо кучу переменных окружения задать, либо один очень длинный и непросматриваемый cmd в конфигурации контейнера. Подход с переменными окружения полезен, если хотите управлять конфигурацией прямо внутри RouterOS без ПК и вообще без монтирования (см. https://doc.traefik.io/traefik/reference/static-configuration/env/). Можно ещё создать новый образ на базе traefik, просто включив в него traefik.yaml.

Ниже я объясню способ с монтированием. Чтобы создать контейнер с конфигурацией (подправьте по необходимости):

:global rootdisk "raid1-part1"
/interface/veth/add name=veth-traefik address=172.18.18.18/24 gateway=172.18.18.1
/ip/address/add interface=veth-traefik address=172.18.18.1/24
/container add interface=veth-traefik logging=yes mounts=TRAEFIK_ETC root-dir="$rootdisk/traefik-etc"
/container add root-dir="$rootdisk/traefik-root" remote-image=library/traefik:v2.10 logging=yes interface=veth-traefik mounts=TRAEFIK_ETC
/container start

Теперь, чтобы использовать контейнер, нужна конфигурация. Ваши настройки могут отличаться, но в моём примере всё, что приходит, перенаправляется на веб-серверы Mikrotik с добавлением ACME Let’s Encrypt и CORS-заголовков, а также с редиректом с HTTP на HTTPS. Эта часть зависит от вас, так как правила файрвола сильно различаются.

Но вот пример конфигурации, которая перенаправляет все входящие запросы на порты 80/443 к веб-серверу Traefik, который потом проксирует их на webfig, REST и прочее Mikrotik:

/ip firewall nat add comment="Порт 80 LAN на прокси Traefik" action=dst-nat chain=dstnat dst-port=8080 protocol=tcp src-address-list=LAN to-addresses=172.18.18.18 to-ports=8080
/ip firewall nat add comment="Все (кроме Traefik) порт 80 на прокси Traefik" action=dst-nat chain=dstnat dst-port=443 protocol=tcp to-addresses=172.18.18.18 from-address=!172.18.18.0/24 to-ports=443
/ip firewall nat add comment="Все (кроме Traefik) порт 443 на прокси Traefik" action=dst-nat chain=dstnat dst-port=80 protocol=tcp to-addresses=172.18.18.18 from-address=!172.18.18.0/24 to-ports=80

Поскольку правила NAT обрабатываются первыми, перенаправить веб-трафик на Traefik довольно просто. Возможно, придётся добавить или убрать правила в /ip/firewall/filter по желанию — это просто пример.

В конце, после редактирования конфигурации на вашем ПК, её нужно загрузить. Можно использовать мой traefik.yaml как шаблон. Главное — файл должен называться «traefik.yaml» (и быть валидным) и копироваться в примонтированную папку TRAEFIK_ETC. Можно подключить ROSE/SMB для монтирования или использовать FTP/SCP и т.п., но валидный traefik.yaml должен оказаться в монтируемой директории, которая потом отображается в /etc/traefik.

Вот моя рабочая конфигурация, которая проксирует RouterOS по 80/443 через адрес шлюза контейнера (при этом /ip/services/http слушает порты 80/443 тоже):

log:
 level: debug
providers:
 file:
   directory: /etc/traefik
   watch: true
api:
 insecure: true
entryPoints:
 web:
   address: ":80"
 websecure:
   address: ":443"
certificatesResolvers:
 lets-encrypt:
   acme:
     email: REPLACE_WITH_VALID_EMAIL=me@example.com
     storage: acme.json
     #caServer: "https://acme-staging-v02.api.letsencrypt.org/directory"
     httpChallenge:
       entryPoint: web
serversTransport:
 insecureSkipVerify: true
http:
 routers:
   bigdude-redirect-http:
     rule: "Host(`REPLACE_ME_WITH_IP_CLOUD_NAME_OR_YOUR_OWN=snXXXXXXX.mynetname.net`)"
     service: routeros-web
     entryPoints:
       - web
     middlewares:
       - redirect-https
   bigdude-https:
     rule: "Host(`REPLACE_ME_WITH_SAME_AS_ABOVE`)"
     service: routeros-web
     entryPoints:
       - websecure
     middlewares:
       - cors-routeros
     tls:
       certResolver: "lets-encrypt"
 services:
   routeros-web:
     loadBalancer:
       passHostHeader: false
       servers:
         - url: "http://172.18.18.1"
 middlewares:
   redirect-https:
     redirectScheme:
       scheme: https
       permanent: true
   cors-routeros:
     headers:
       accessControlAllowCredentials: true
       accessControlAllowMethods:
         - GET
         - OPTIONS
         - PUT
         - POST
         - PATCH
         - DELETE
       accessControlAllowHeaders: "*"
       accessControlAllowOriginList:
         - https://localhost:3000
         - https://REPLACE_ME_WITH_SAME_AS_ABOVE=snXXXXXX.mynetname.net
       accessControlMaxAge: 100
       addVaryHeader: true

Обратите внимание на места с REPLACE — их нужно заменить. В документации Traefik есть больше примеров — выше использован конфиг в формате «File (YAML)», как описано здесь: https://doc.traefik.io/traefik/getting-started/concepts/.

Ещё учтите, что сертификаты Let’s Encrypt проверяются/создаются только при старте, поэтому после загрузки конфигурации сервис надо остановить и запустить заново. Все остальные изменения в traefik.yaml происходят в реальном времени благодаря включённому «file provider» и опции watch: true.

В общем, мне конфигурация Traefik понравилась больше, чем у NGINX. Насчёт производительности и стабильности ничего сказать не могу — пока это просто эксперимент. HAProxy всё ещё кажется лучшим вариантом для серьёзных задач, но Traefik выглядит более подходящим для контейнера под Mikrotik.

@propio3r Доброе утро! Подскажите, пожалуйста, как вы устанавливали контейнер nproxy manager? У меня роутеры версии 7.15, и я бы хотел его поставить, но нигде не могу найти инструкций. Заранее огромное спасибо!

Обязательно нужно это попробовать. Спасибо, Amm0!