Traefik: повний гайд по сучасному reverse proxy

Вступ

Traefik позиціонує себе як “cloud-native” reverse proxy та load balancer. На відміну від традиційних рішень, він розроблений з нуля для роботи в мікросервісній архітектурі та контейнеризованих середовищах. У цій статті ми детально розглянемо всі аспекти роботи з Traefik.

Порівняння з іншими reverse proxy

Traefik vs Nginx

Nginx:

# Традиційна конфігурація
upstream backend {
    server backend1:8080;
    server backend2:8080;
}

server {
    listen 443 ssl;
    server_name api.example.com;
    
    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;
    
    location / {
        proxy_pass http://backend;
    }
}

# Традиційна конфігурація

upstream backend {

server backend1:8080;

server backend2:8080;

}

server {

listen 443 ssl;

server_name api.example.com;

ssl_certificate /path/to/cert.pem;

ssl_certificate_key /path/to/key.pem;

location / {

proxy_pass http://backend;

}

Traefik:

# Автоматична конфігурація через labels
labels:
  - "traefik.enable=true"
  - "traefik.http.routers.api.rule=Host(`api.example.com`)"
  - "traefik.http.routers.api.tls.certresolver=letsencrypt"

# Автоматична конфігурація через labels

labels:

- "traefik.enable=true"

- "traefik.http.routers.api.rule=Host(`api.example.com`)"

- "traefik.http.routers.api.tls.certresolver=letsencrypt"

Переваги Traefik:

Автоматичне service discovery
Автоматичне управління SSL сертифікатами
Hot reload без перезапуску
Нативна підтримка Docker, Kubernetes, Consul

Переваги Nginx:

Вища продуктивність для статичного контенту
Більша гнучкість конфігурації
Ширша екосистема модулів
Краща документація

Traefik vs HAProxy

HAProxy:

# haproxy.cfg
backend api_servers
    balance roundrobin
    server api1 192.168.1.10:8080 check
    server api2 192.168.1.11:8080 check

frontend api_frontend
    bind *:443 ssl crt /path/to/cert.pem
    default_backend api_servers

# haproxy.cfg

backend api_servers

balance roundrobin

server api1 192.168.1.10:8080 check

server api2 192.168.1.11:8080 check

frontend api_frontend

bind *:443 ssl crt /path/to/cert.pem

default_backend api_servers

Переваги Traefik:

Сучасний API та dashboard
Інтеграція з orchestration платформами
Автоматичне оновлення конфігурації

Переваги HAProxy:

Надвисока продуктивність
Розширені алгоритми балансування
Детальна статистика
Стабільність у high-load середовищах

Traefik vs Envoy Proxy

Envoy:

Основа для Istio service mesh
gRPC-первинний дизайн
Розширені можливості observability

Traefik:

Простіша конфігурація
Краща інтеграція з Docker
Менш складний для базових випадків

Глибокий розбір middleware системи

Архітектура middleware

Traefik використовує middleware chain для обробки запитів:

Request → Router → Middleware Chain → Service

1 2	Request → Router → Middleware Chain → Service

Вбудовані middleware

1. Authentication middleware

# Basic Auth
labels:
  - "traefik.http.middlewares.auth.basicauth.users=admin:$$2y$$10$$..."

# Forward Auth (OAuth2)
labels:
  - "traefik.http.middlewares.oauth.forwardauth.address=http://oauth-provider:4181"
  - "traefik.http.middlewares.oauth.forwardauth.trustForwardHeader=true"

# Basic Auth

labels:

- "traefik.http.middlewares.auth.basicauth.users=admin:$$2y$$10$$..."

# Forward Auth (OAuth2)

labels:

- "traefik.http.middlewares.oauth.forwardauth.address=http://oauth-provider:4181"

- "traefik.http.middlewares.oauth.forwardauth.trustForwardHeader=true"

2. Rate Limiting

# Per IP rate limiting
labels:
  - "traefik.http.middlewares.rate-limit.ratelimit.burst=10"
  - "traefik.http.middlewares.rate-limit.ratelimit.average=5"
  - "traefik.http.middlewares.rate-limit.ratelimit.period=1s"

# Per IP rate limiting

labels:

- "traefik.http.middlewares.rate-limit.ratelimit.burst=10"

- "traefik.http.middlewares.rate-limit.ratelimit.average=5"

- "traefik.http.middlewares.rate-limit.ratelimit.period=1s"

3. Circuit Breaker

# Circuit breaker pattern
labels:
  - "traefik.http.middlewares.cb.circuitbreaker.expression=NetworkErrorRatio() &gt; 0.3"
  - "traefik.http.middlewares.cb.circuitbreaker.checkperiod=3s"
  - "traefik.http.middlewares.cb.circuitbreaker.fallbackduration=10s"

# Circuit breaker pattern

labels:

- "traefik.http.middlewares.cb.circuitbreaker.expression=NetworkErrorRatio() > 0.3"

- "traefik.http.middlewares.cb.circuitbreaker.checkperiod=3s"

- "traefik.http.middlewares.cb.circuitbreaker.fallbackduration=10s"

4. Retry механізм

labels:
  - "traefik.http.middlewares.retry.retry.attempts=3"
  - "traefik.http.middlewares.retry.retry.initialinterval=100ms"

labels:

- "traefik.http.middlewares.retry.retry.attempts=3"

- "traefik.http.middlewares.retry.retry.initialinterval=100ms"

5. Request/Response модифікація

# Headers manipulation
labels:
  - "traefik.http.middlewares.secure-headers.headers.customrequestheaders.X-Forwarded-Proto=https"
  - "traefik.http.middlewares.secure-headers.headers.customresponseheaders.X-Frame-Options=DENY"
  - "traefik.http.middlewares.secure-headers.headers.customresponseheaders.X-Content-Type-Options=nosniff"

# Path manipulation
labels:
  - "traefik.http.middlewares.api-strip.stripprefix.prefixes=/api/v1"
  - "traefik.http.middlewares.api-add.addprefix.prefix=/api"

# Headers manipulation

labels:

- "traefik.http.middlewares.secure-headers.headers.customrequestheaders.X-Forwarded-Proto=https"

- "traefik.http.middlewares.secure-headers.headers.customresponseheaders.X-Frame-Options=DENY"

- "traefik.http.middlewares.secure-headers.headers.customresponseheaders.X-Content-Type-Options=nosniff"

# Path manipulation

labels:

- "traefik.http.middlewares.api-strip.stripprefix.prefixes=/api/v1"

- "traefik.http.middlewares.api-add.addprefix.prefix=/api"

Композиція middleware

# Об'єднання декількох middleware
labels:
  - "traefik.http.routers.api.middlewares=auth,rate-limit,secure-headers,retry"

# Об'єднання декількох middleware

labels:

- "traefik.http.routers.api.middlewares=auth,rate-limit,secure-headers,retry"

Кастомні middleware

# Файл конфігурації traefik.yml
http:
  middlewares:
    custom-cors:
      headers:
        accessControlAllowMethods:
          - GET
          - POST
          - PUT
          - DELETE
        accessControlAllowOriginList:
          - "https://example.com"
          - "https://app.example.com"
        accessControlMaxAge: 100
        addVaryHeader: true

# Файл конфігурації traefik.yml

http:

middlewares:

custom-cors:

headers:

accessControlAllowMethods:

- GET

- POST

- PUT

- DELETE

accessControlAllowOriginList:

- "https://example.com"

- "https://app.example.com"

accessControlMaxAge: 100

addVaryHeader: true

Продвинуті сценарії використання

1. Canary Deployments

# Основний сервіс (90% трафіку)
services:
  app-v1:
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.app-main.rule=Host(`app.example.com`)"
      - "traefik.http.services.app-main.loadbalancer.server.port=8080"
      - "traefik.http.services.app-main.loadbalancer.sticky.cookie=true"

  # Canary версія (10% трафіку)
  app-v2:
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.app-canary.rule=Host(`app.example.com`) &amp;&amp; Headers(`X-Canary`, `true`)"
      - "traefik.http.routers.app-canary.priority=100"
      - "traefik.http.services.app-canary.loadbalancer.server.port=8080"

# Weighted routing через файл конфігурації
http:
  services:
    app-weighted:
      weighted:
        services:
          - name: app-main
            weight: 90
          - name: app-canary  
            weight: 10

# Основний сервіс (90% трафіку)

services:

app-v1:

labels:

- "traefik.enable=true"

- "traefik.http.routers.app-main.rule=Host(`app.example.com`)"

- "traefik.http.services.app-main.loadbalancer.server.port=8080"

- "traefik.http.services.app-main.loadbalancer.sticky.cookie=true"

# Canary версія (10% трафіку)

app-v2:

labels:

- "traefik.enable=true"

- "traefik.http.routers.app-canary.rule=Host(`app.example.com`) && Headers(`X-Canary`, `true`)"

- "traefik.http.routers.app-canary.priority=100"

- "traefik.http.services.app-canary.loadbalancer.server.port=8080"

# Weighted routing через файл конфігурації

http:

services:

app-weighted:

weighted:

services:

- name: app-main

weight: 90

- name: app-canary

weight: 10

2. Blue-Green Deployments

# Traefik file provider конфігурація
http:
  routers:
    app:
      rule: "Host(`app.example.com`)"
      service: "app-active"
      tls:
        certResolver: "letsencrypt"

  services:
    app-active:
      loadBalancer:
        servers:
          - url: "http://app-blue:8080"  # Активна версія
    
    app-standby:
      loadBalancer:
        servers:
          - url: "http://app-green:8080"  # Standby версія

# Переключення через API
curl -X PUT http://traefik:8080/api/http/services/app-active \
  -d '{"loadBalancer":{"servers":[{"url":"http://app-green:8080"}]}}'

# Traefik file provider конфігурація

http:

routers:

app:

rule: "Host(`app.example.com`)"

service: "app-active"

tls:

certResolver: "letsencrypt"

services:

app-active:

loadBalancer:

servers:

- url: "http://app-blue:8080" # Активна версія

app-standby:

loadBalancer:

servers:

- url: "http://app-green:8080" # Standby версія

# Переключення через API

curl -X PUT http://traefik:8080/api/http/services/app-active \

-d '{"loadBalancer":{"servers":[{"url":"http://app-green:8080"}]}}'

3. Multi-tenant архітектура

# Динамічне routing по піддоменах
labels:
  - "traefik.http.routers.tenant.rule=Host(`{tenant:[a-z]+}.app.example.com`)"
  - "traefik.http.routers.tenant.middlewares=tenant-headers"
  - "traefik.http.middlewares.tenant-headers.headers.customrequestheaders.X-Tenant={tenant}"

# Path-based routing
labels:
  - "traefik.http.routers.tenant-path.rule=Host(`app.example.com`) &amp;&amp; PathPrefix(`/tenant/{tenant:[a-z]+}`)"
  - "traefik.http.middlewares.tenant-strip.replacepathregex.regex=^/tenant/([^/]+)(.*)"
  - "traefik.http.middlewares.tenant-strip.replacepathregex.replacement=$2"

# Динамічне routing по піддоменах

labels:

- "traefik.http.routers.tenant.rule=Host(`{tenant:[a-z]+}.app.example.com`)"

- "traefik.http.routers.tenant.middlewares=tenant-headers"

- "traefik.http.middlewares.tenant-headers.headers.customrequestheaders.X-Tenant={tenant}"

# Path-based routing

labels:

- "traefik.http.routers.tenant-path.rule=Host(`app.example.com`) && PathPrefix(`/tenant/{tenant:[a-z]+}`)"

- "traefik.http.middlewares.tenant-strip.replacepathregex.regex=^/tenant/([^/]+)(.*)"

- "traefik.http.middlewares.tenant-strip.replacepathregex.replacement=$2"

4. gRPC Load Balancing

# gRPC сервіси з HTTP/2
labels:
  - "traefik.enable=true"
  - "traefik.http.routers.grpc.rule=Host(`grpc.example.com`)"
  - "traefik.http.routers.grpc.tls=true"
  - "traefik.http.services.grpc.loadbalancer.server.scheme=h2c"
  - "traefik.http.services.grpc.loadbalancer.server.port=9090"
  - "traefik.http.services.grpc.loadbalancer.healthcheck.path=/health"
  - "traefik.http.services.grpc.loadbalancer.healthcheck.protocol=h2c"

# gRPC сервіси з HTTP/2

labels:

- "traefik.enable=true"

- "traefik.http.routers.grpc.rule=Host(`grpc.example.com`)"

- "traefik.http.routers.grpc.tls=true"

- "traefik.http.services.grpc.loadbalancer.server.scheme=h2c"

- "traefik.http.services.grpc.loadbalancer.server.port=9090"

- "traefik.http.services.grpc.loadbalancer.healthcheck.path=/health"

- "traefik.http.services.grpc.loadbalancer.healthcheck.protocol=h2c"

Performance туning

1. Конфігурація ресурсів

# docker-compose.yml
traefik:
  deploy:
    resources:
      limits:
        memory: 512M
        cpus: '1.0'
      reservations:
        memory: 256M
        cpus: '0.5'

# docker-compose.yml

traefik:

deploy:

resources:

limits:

memory: 512M

cpus: '1.0'

reservations:

memory: 256M

cpus: '0.5'

2. Оптимізація мережі

# traefik.yml
entryPoints:
  web:
    address: ":80"
    transport:
      lifeCycle:
        requestAcceptGraceTimeout: 10s
        graceTimeOut: 10s
      respondingTimeouts:
        readTimeout: 60s
        writeTimeout: 60s
        idleTimeout: 180s

# Tuning для high-load
global:
  checkNewVersion: false
  sendAnonymousUsage: false

serversTransport:
  maxIdleConnsPerHost: 100
  idleConnTimeout: 90s
  responseHeaderTimeout: 60s

# traefik.yml

entryPoints:

web:

address: ":80"

transport:

lifeCycle:

requestAcceptGraceTimeout: 10s

graceTimeOut: 10s

respondingTimeouts:

readTimeout: 60s

writeTimeout: 60s

idleTimeout: 180s

# Tuning для high-load

global:

checkNewVersion: false

sendAnonymousUsage: false

serversTransport:

maxIdleConnsPerHost: 100

idleConnTimeout: 90s

responseHeaderTimeout: 60s

3. Caching та compression

# Compression middleware
labels:
  - "traefik.http.middlewares.compress.compress=true"

# Caching headers
labels:
  - "traefik.http.middlewares.cache.headers.customresponseheaders.Cache-Control=public, max-age=3600"
  - "traefik.http.middlewares.cache.headers.customresponseheaders.Vary=Accept-Encoding"

# Compression middleware

labels:

- "traefik.http.middlewares.compress.compress=true"

# Caching headers

labels:

- "traefik.http.middlewares.cache.headers.customresponseheaders.Cache-Control=public, max-age=3600"

- "traefik.http.middlewares.cache.headers.customresponseheaders.Vary=Accept-Encoding"

4. Connection pooling

# Налаштування upstream connection pool
http:
  serversTransports:
    default:
      maxIdleConnsPerHost: 50
      disableKeepAlives: false
      idleConnTimeout: "90s"
      responseHeaderTimeout: "30s"
      expectContinueTimeout: "1s"

# Налаштування upstream connection pool

http:

serversTransports:

default:

maxIdleConnsPerHost: 50

disableKeepAlives: false

idleConnTimeout: "90s"

responseHeaderTimeout: "30s"

expectContinueTimeout: "1s"

Моніторинг та метрики

1. Prometheus інтеграція

# traefik.yml
metrics:
  prometheus:
    addEntryPointsLabels: true
    addServicesLabels: true
    buckets:
      - 0.1
      - 0.3
      - 1.2
      - 5.0
    manualRouting: true

# Експорт метрик на окремому порту
entryPoints:
  metrics:
    address: ":8082"

http:
  routers:
    prometheus:
      rule: "Host(`traefik.local`) &amp;&amp; Path(`/metrics`)"
      service: prometheus@internal
      entryPoints:
        - metrics

# traefik.yml

metrics:

prometheus:

addEntryPointsLabels: true

addServicesLabels: true

buckets:

- 0.1

- 0.3

- 1.2

- 5.0

manualRouting: true

# Експорт метрик на окремому порту

entryPoints:

metrics:

address: ":8082"

http:

routers:

prometheus:

rule: "Host(`traefik.local`) && Path(`/metrics`)"

service: prometheus@internal

entryPoints:

- metrics

2. Grafana Dashboard

{
  "dashboard": {
    "title": "Traefik Metrics",
    "panels": [
      {
        "title": "Request Rate",
        "targets": [
          {
            "expr": "rate(traefik_http_requests_total[5m])",
            "legendFormat": "{{service}} - {{method}}"
          }
        ]
      },
      {
        "title": "Response Time",
        "targets": [
          {
            "expr": "histogram_quantile(0.95, rate(traefik_http_request_duration_seconds_bucket[5m]))",
            "legendFormat": "95th percentile"
          }
        ]
      }
    ]
  }
}

{

"dashboard": {

"title": "Traefik Metrics",

"panels": [

{

"title": "Request Rate",

"targets": [

{

"expr": "rate(traefik_http_requests_total[5m])",

"legendFormat": "{{service}} - {{method}}"

}

]

{

"title": "Response Time",

"targets": [

{

"expr": "histogram_quantile(0.95, rate(traefik_http_request_duration_seconds_bucket[5m]))",

"legendFormat": "95th percentile"

}

]

}

]

}

3. Distributed Tracing

# Jaeger integration
tracing:
  jaeger:
    samplingType: const
    samplingParam: 1.0
    localAgentHostPort: "jaeger-agent:6831"
    propagation: jaeger
    traceContextHeaderName: "X-Trace-Id"

# OpenTelemetry
tracing:
  otlp:
    http:
      endpoint: "http://otel-collector:4318"
    insecure: true

# Jaeger integration

tracing:

jaeger:

samplingType: const

samplingParam: 1.0

localAgentHostPort: "jaeger-agent:6831"

propagation: jaeger

traceContextHeaderName: "X-Trace-Id"

# OpenTelemetry

tracing:

otlp:

http:

endpoint: "http://otel-collector:4318"

insecure: true

4. Логування

# Structured logging
log:
  level: INFO
  format: json
  filePath: "/var/log/traefik/traefik.log"

# Access logs
accessLog:
  filePath: "/var/log/traefik/access.log"
  format: json
  fields:
    defaultMode: keep
    names:
      ClientUsername: drop
    headers:
      defaultMode: keep
      names:
        User-Agent: keep
        Authorization: drop
        Content-Type: keep

# Structured logging

log:

level: INFO

format: json

filePath: "/var/log/traefik/traefik.log"

# Access logs

accessLog:

filePath: "/var/log/traefik/access.log"

format: json

fields:

defaultMode: keep

names:

ClientUsername: drop

headers:

defaultMode: keep

names:

User-Agent: keep

Authorization: drop

Content-Type: keep

Інтеграція з cloud провайдерами

1. AWS Integration

ECS Service Discovery

# traefik.yml
providers:
  ecs:
    endpoints:
      - "https://ecs.us-east-1.amazonaws.com"
    region: "us-east-1"
    accessKeyID: "ACCESS_KEY"
    secretAccessKey: "SECRET_KEY"
    exposedByDefault: false
    refreshSeconds: 15

# ECS Task Definition
{
  "family": "web-app",
  "containerDefinitions": [
    {
      "name": "web",
      "image": "nginx:latest",
      "dockerLabels": {
        "traefik.enable": "true",
        "traefik.http.routers.web.rule": "Host(`web.example.com`)",
        "traefik.http.services.web.loadbalancer.server.port": "80"
      }
    }
  ]
}

# traefik.yml

providers:

ecs:

endpoints:

- "https://ecs.us-east-1.amazonaws.com"

region: "us-east-1"

accessKeyID: "ACCESS_KEY"

secretAccessKey: "SECRET_KEY"

exposedByDefault: false

refreshSeconds: 15

# ECS Task Definition

{

"family": "web-app",

"containerDefinitions": [

{

"name": "web",

"image": "nginx:latest",

"dockerLabels": {

"traefik.enable": "true",

"traefik.http.routers.web.rule": "Host(`web.example.com`)",

"traefik.http.services.web.loadbalancer.server.port": "80"

}

]

}

Application Load Balancer Integration

# AWS ALB як backend
http:
  services:
    aws-alb:
      loadBalancer:
        servers:
          - url: "http://internal-alb-123456789.us-east-1.elb.amazonaws.com"
        healthCheck:
          path: "/health"
          interval: "30s"
          timeout: "5s"

# AWS ALB як backend

http:

services:

aws-alb:

loadBalancer:

servers:

- url: "http://internal-alb-123456789.us-east-1.elb.amazonaws.com"

healthCheck:

path: "/health"

interval: "30s"

timeout: "5s"

2. Google Cloud Platform

GKE Integration

# traefik-deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: traefik
spec:
  template:
    spec:
      containers:
      - name: traefik
        image: traefik:v3.0
        args:
          - --providers.kubernetescrd
          - --providers.kubernetescrd.allowcrossnamespace=true
          - --certificatesresolvers.gcp.acme.dnschallenge.provider=gcloud
        env:
        - name: GCE_PROJECT
          value: "my-gcp-project"
        - name: GCE_SERVICE_ACCOUNT_FILE
          value: "/etc/gcp/service-account.json"

# traefik-deployment.yaml

apiVersion: apps/v1

kind: Deployment

metadata:

name: traefik

spec:

template:

spec:

containers:

- name: traefik

image: traefik:v3.0

args:

- --providers.kubernetescrd

- --providers.kubernetescrd.allowcrossnamespace=true

- --certificatesresolvers.gcp.acme.dnschallenge.provider=gcloud

env:

- name: GCE_PROJECT

value: "my-gcp-project"

- name: GCE_SERVICE_ACCOUNT_FILE

value: "/etc/gcp/service-account.json"

Cloud SQL Proxy

# Cloud SQL connection through proxy
services:
  app:
    labels:
      - "traefik.http.routers.app.rule=Host(`app.example.com`)"
      - "traefik.http.middlewares.cloudsql.headers.customrequestheaders.X-DB-Host=127.0.0.1:5432"

# Cloud SQL connection through proxy

services:

app:

labels:

- "traefik.http.routers.app.rule=Host(`app.example.com`)"

- "traefik.http.middlewares.cloudsql.headers.customrequestheaders.X-DB-Host=127.0.0.1:5432"

3. Azure Integration

Azure Container Instances

# ACI provider
providers:
  aci:
    endpoints:
      - "https://management.azure.com/"
    subscriptionID: "subscription-id"
    resourceGroup: "my-resource-group"
    exposedByDefault: false

# ACI provider

providers:

aci:

endpoints:

- "https://management.azure.com/"

subscriptionID: "subscription-id"

resourceGroup: "my-resource-group"

exposedByDefault: false

Azure Key Vault для certificates

# Azure Key Vault integration
certificatesResolvers:
  azure:
    acme:
      keyType: EC256
      dnsChallenge:
        provider: azure
        resolvers:
          - "8.8.8.8:53"
          - "1.1.1.1:53"

# Azure Key Vault integration

certificatesResolvers:

azure:

acme:

keyType: EC256

dnsChallenge:

provider: azure

resolvers:

- "8.8.8.8:53"

- "1.1.1.1:53"

Безпека та best practices

1. Security Headers

# Комплексні security headers
labels:
  - "traefik.http.middlewares.security.headers.customresponseheaders.X-Robots-Tag=none,noarchive,nosnippet,notranslate,noimageindex"
  - "traefik.http.middlewares.security.headers.frameDeny=true"
  - "traefik.http.middlewares.security.headers.sslRedirect=true"
  - "traefik.http.middlewares.security.headers.browserXssFilter=true"
  - "traefik.http.middlewares.security.headers.contentTypeNosniff=true"
  - "traefik.http.middlewares.security.headers.forceSTSHeader=true"
  - "traefik.http.middlewares.security.headers.stsIncludeSubdomains=true"
  - "traefik.http.middlewares.security.headers.stsSeconds=31536000"
  - "traefik.http.middlewares.security.headers.stsPreload=true"

# Комплексні security headers

labels:

- "traefik.http.middlewares.security.headers.customresponseheaders.X-Robots-Tag=none,noarchive,nosnippet,notranslate,noimageindex"

- "traefik.http.middlewares.security.headers.frameDeny=true"

- "traefik.http.middlewares.security.headers.sslRedirect=true"

- "traefik.http.middlewares.security.headers.browserXssFilter=true"

- "traefik.http.middlewares.security.headers.contentTypeNosniff=true"

- "traefik.http.middlewares.security.headers.forceSTSHeader=true"

- "traefik.http.middlewares.security.headers.stsIncludeSubdomains=true"

- "traefik.http.middlewares.security.headers.stsSeconds=31536000"

- "traefik.http.middlewares.security.headers.stsPreload=true"

2. IP Whitelisting

# IP filtering
labels:
  - "traefik.http.middlewares.ipwhitelist.ipwhitelist.sourcerange=192.168.1.0/24,172.16.0.0/16"

# GeoIP blocking
labels:
  - "traefik.http.middlewares.geoblock.plugin.geoblock.countries=CN,RU"

# IP filtering

labels:

- "traefik.http.middlewares.ipwhitelist.ipwhitelist.sourcerange=192.168.1.0/24,172.16.0.0/16"

# GeoIP blocking

labels:

- "traefik.http.middlewares.geoblock.plugin.geoblock.countries=CN,RU"

3. Certificate Management

# Wildcard certificates
certificatesResolvers:
  letsencrypt:
    acme:
      tlsChallenge: {}
      email: admin@example.com
      storage: /letsencrypt/acme.json
      # Staging environment
      caServer: https://acme-staging-v02.api.letsencrypt.org/directory

# Certificate stores
tls:
  stores:
    default:
      defaultCertificate:
        certFile: /path/to/cert.crt
        keyFile: /path/to/cert.key

# Wildcard certificates

certificatesResolvers:

letsencrypt:

acme:

tlsChallenge: {}

email: admin@example.com

storage: /letsencrypt/acme.json

# Staging environment

caServer: https://acme-staging-v02.api.letsencrypt.org/directory

# Certificate stores

tls:

stores:

default:

defaultCertificate:

certFile: /path/to/cert.crt

keyFile: /path/to/cert.key

Висновки

Traefik представляє собою потужне рішення для сучасних мікросервісних архітектур. Його основні переваги:

Для DevOps:

Автоматизація конфігурації
Інтеграція з CI/CD pipeline
Зменшення operational overhead

Для розробників:

Простота додавання нових сервісів
Автоматичне SSL
Консистентний API

Для бізнесу:

Зменшення time-to-market
Підвищення reliability
Економія на операційних витратах

Traefik найкраще підходить для:

Мікросервісних архітектур
Container-based deployments
Cloud-native додатків
Середовищ з частими deployments

Не рекомендується для:

Монолітних додатків з статичною конфігурацією
High-performance статичного контенту
Legacy систем без контейнеризації

Правильно налаштований Traefik може значно спростити управління мережевою інфраструктурою та підвищити продуктивність команди розробки.

Вступ

Порівняння з іншими reverse proxy

Traefik vs Nginx

Traefik vs HAProxy

Traefik vs Envoy Proxy

Глибокий розбір middleware системи

Архітектура middleware

Вбудовані middleware

1. Authentication middleware

2. Rate Limiting

3. Circuit Breaker

4. Retry механізм

5. Request/Response модифікація

Композиція middleware

Кастомні middleware

Продвинуті сценарії використання

1. Canary Deployments

2. Blue-Green Deployments

3. Multi-tenant архітектура

4. gRPC Load Balancing

Performance туning

1. Конфігурація ресурсів

2. Оптимізація мережі

3. Caching та compression

4. Connection pooling

Моніторинг та метрики

1. Prometheus інтеграція

2. Grafana Dashboard

3. Distributed Tracing

4. Логування

Інтеграція з cloud провайдерами

1. AWS Integration

ECS Service Discovery

Application Load Balancer Integration

2. Google Cloud Platform

GKE Integration

Cloud SQL Proxy

3. Azure Integration

Azure Container Instances

Azure Key Vault для certificates

Безпека та best practices

1. Security Headers

2. IP Whitelisting

3. Certificate Management

Висновки

Залишити відповідь Скасувати коментар