Налаштування Traefik на

Що ми налаштовуємо і навіщо

Ми будемо налаштовувати Traefik — сучасний хмарно-нативний зворотний проксі та балансувальник навантаження, який чудово інтегрується з динамічними середовищами, такими як Docker. Основне завдання — автоматизувати процес публікації веб-сервісів, запущених у Docker-контейнерах, роблячи їх доступними з інтернету за доменними іменами та із захищеним HTTPS-з'єднанням.

У підсумку ви отримаєте гнучку та масштабовану інфраструктуру, де кожен новий Docker-контейнер, призначений для публічного доступу, буде автоматично зареєстрований у Traefik. Вам не доведеться вручну редагувати конфігураційні файли Nginx або Apache, а також дбати про отримання та продовження SSL-сертифікатів — Traefik зробить це за вас, використовуючи Let's Encrypt. Це значно спрощує розгортання та керування безліччю мікросервісів або веб-додатків на одному VPS.

Які альтернативи існують? Для публікації веб-сервісів можна використовувати традиційні зворотні проксі, такі як Nginx або Apache, які вимагають ручного налаштування для кожного нового сервісу. У хмарних середовищах (AWS, GCP, Azure) часто використовуються керовані балансувальники навантаження та API Gateway. Однак для самохостингу на VPS Traefik пропонує унікальне поєднання простоти налаштування, автоматизації та глибокої інтеграції з Docker. Вибираючи self-hosted рішення на VPS, ви отримуєте повний контроль над своєю інфраструктурою, заощаджуєте на щомісячних платежах за керовані сервіси та можете адаптувати все під свої специфічні потреби, що ідеально підходить для розробників, соло-фаундерів та ентузіастів.

Який VPS-конфіг потрібен для цього завдання

Вибір конфігурації VPS залежить від кількості та навантаження на Docker-контейнери, які ви плануєте проксіювати через Traefik. Сам Traefik відносно легкий, але проксійовані сервіси можуть бути вимогливими.

Мінімальні вимоги

• CPU: 1 ядро (наприклад, Intel Xeon E3/E5).
• RAM: 2 ГБ (для Traefik та кількох легковажних Docker-контейнерів).
• Диск: 40 ГБ SSD (для операційної системи, Docker-образів, логів та даних контейнерів).
• Мережа: 100 Мбіт/с порт з необмеженим трафіком або достатнім обсягом (від 1 ТБ/міс) для ваших потреб.
• Операційна система: Ubuntu 24.04 LTS (рекомендується) або Debian 12.

Рекомендований VPS-план для більшості завдань

Для більш серйозних проєктів, що включають кілька веб-додатків, бази даних, або якщо ви очікуєте помірне навантаження, рекомендується наступна конфігурація:

• CPU: 2 ядра (наприклад, Intel Xeon E5).
• RAM: 4 ГБ.
• Диск: 80-120 ГБ SSD (для комфортного розміщення кількох додатків та їхніх даних).
• Мережа: 1 Гбіт/с порт з необмеженим трафіком.

Можна взяти VPS із зазначеними характеристиками для початку. Ця конфігурація забезпечить стабільну роботу Traefik та дозволить розмістити до 5-10 середніх Docker-контейнерів без суттєвих уповільнень.

Коли потрібен dedicated, а не VPS

Виділений сервер (dedicated) стає кращим, коли:

• Вам потрібна максимальна продуктивність та стабільність без "сусідського" ефекту, характерного для VPS.
• Ви плануєте розміщувати високонавантажені додатки, що вимагають понад 8-16 ГБ RAM та 4+ ядер CPU.
• Потрібен великий обсяг дискового простору (кілька ТБ) або специфічні дискові конфігурації (RAID).
• Потрібні специфічні апаратні компоненти (GPU, спеціальні мережеві карти).
• Необхідна відповідність суворим регуляторним вимогам, які можуть бути простіше дотримані на повністю контрольованому обладнанні.

Для більшості завдань, пов'язаних з Traefik та Docker-контейнерами для малого та середнього бізнесу або особистих проєктів, VPS більш ніж достатньо.

Локація: на що впливає

Вибір локації VPS впливає на:

• Затримку (latency): Чим ближче сервер до вашої основної аудиторії, тим швидше завантажуватимуться сторінки та відгукуватимуться сервіси.
• Відповідність законодавству: У деяких випадках зберігання даних у певній юрисдикції є обов'язковим.
• Доступність: Різні локації можуть мати різну стабільність та доступність мережі.

Вибирайте локацію, яка географічно ближче до ваших основних користувачів для оптимальної продуктивності.

Підготовка сервера

Після отримання доступу до вашого нового VPS необхідно виконати кілька базових кроків з його підготовки та забезпечення безпеки.

1. Підключення по SSH та створення користувача

Підключіться до сервера як root (або користувач, наданий хостером) і створіть нового користувача з обмеженими правами. Замініть ваш_пользователь на бажане ім'я користувача.

ssh root@ВАШ_IP_АДРЕС # Підключаємося як root
adduser ваш_пользователь # Створюємо нового користувача
usermod -aG sudo ваш_пользователь # Додаємо користувача до групи sudo

Тепер вийдіть із сесії root та підключіться під новим користувачем:

exit # Виходимо з root-сесії
ssh ваш_пользователь@ВАШ_IP_АДРЕС # Підключаємося під новим користувачем

2. Налаштування SSH-ключів (рекомендується)

Для підвищення безпеки рекомендується використовувати SSH-ключі замість паролів. Якщо у вас ще немає SSH-ключа, згенеруйте його на вашій локальній машині:

ssh-keygen -t rsa -b 4096 # Генеруємо новий SSH-ключ (на локальній машині)

Скопіюйте публічний ключ на сервер:

ssh-copy-id ваш_пользователь@ВАШ_IP_АДРЕС # Копіюємо публічний ключ на сервер

Після перевірки входу за ключем, відключіть автентифікацію за паролем для root та вашого користувача у файлі /etc/ssh/sshd_config. Знайдіть рядки та змініть їх:

sudo nano /etc/ssh/sshd_config # Відкриваємо конфігурацію SSH-сервера

Змініть або додайте:

PermitRootLogin no
PasswordAuthentication no

Перезапустіть SSH-сервіс:

sudo systemctl restart sshd # Перезапускаємо SSH-сервіс

3. Оновлення системи

Переконайтеся, що всі пакети на сервері оновлені до останніх версій.

sudo apt update && sudo apt upgrade -y # Оновлюємо список пакетів та всі встановлені пакети

4. Встановлення та налаштування Firewall (UFW)

Налаштуємо простий, але ефективний файрвол UFW (Uncomplicated Firewall).

sudo apt install ufw -y # Встановлюємо UFW
sudo ufw default deny incoming # Забороняємо всі вхідні з'єднання за замовчуванням
sudo ufw default allow outgoing # Дозволяємо всі вихідні з'єднання за замовчуванням
sudo ufw allow ssh # Дозволяємо вхідні з'єднання по SSH (порт 22)
sudo ufw allow http # Дозволяємо вхідні з'єднання по HTTP (порт 80)
sudo ufw allow https # Дозволяємо вхідні з'єднання по HTTPS (порт 443)
sudo ufw enable # Вмикаємо UFW (підтвердіть 'y')
sudo ufw status # Перевіряємо статус UFW

5. Встановлення Fail2Ban

Fail2Ban допомагає захиститися від брутфорс-атак, блокуючи IP-адреси, з яких здійснюються невдалі спроби входу.

sudo apt install fail2ban -y # Встановлюємо Fail2Ban
sudo systemctl enable fail2ban # Вмикаємо автозапуск Fail2Ban
sudo systemctl start fail2ban # Запускаємо Fail2Ban
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local # Створюємо локальну копію конфігу
sudo nano /etc/fail2ban/jail.local # Редагуємо конфігурацію

У файлі jail.local переконайтеся, що секція [sshd] активна (enabled = true) і, за бажанням, можете налаштувати bantime (час блокування) та findtime (період для виявлення спроб).

# Внутри /etc/fail2ban/jail.local
[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

sudo systemctl restart fail2ban # Перезапускаємо Fail2Ban для застосування змін
sudo fail2ban-client status # Перевіряємо статус Fail2Ban

Встановлення ПЗ — покроково

Встановлення ПЗ — покроково

Тепер, коли сервер підготовлено, встановимо необхідне програмне забезпечення: Docker та Docker Compose.

1. Встановлення Docker Engine

Видалимо всі старі версії Docker, якщо вони є, та встановимо останню стабільну версію Docker Engine (актуальну на 2026 рік, припускаємо версію 26.x або новішу).

# Видаляємо старі версії Docker
for pkg in docker.io docker-doc docker-compose docker-compose-v2 podman-docker containerd runc; do sudo apt remove $pkg; done

# Оновлюємо список пакетів та встановлюємо залежності
sudo apt update
sudo apt install ca-certificates curl gnupg lsb-release -y

# Додаємо офіційний GPG ключ Docker
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg

# Додаємо репозиторій Docker до APT
echo \
  "deb [arch="$(dpkg --print-architecture)" signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  "$(. /etc/os-release && echo "$VERSION_CODENAME")" stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# Встановлюємо Docker Engine, containerd та Docker Compose (v2)
sudo apt update
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin -y

2. Додавання користувача до групи Docker

Щоб не використовувати sudo щоразу при роботі з Docker, додайте вашого користувача до групи docker.

sudo usermod -aG docker ваш_пользователь # Додаємо поточного користувача до групи docker
newgrp docker # Застосовуємо зміни для поточної сесії (або перепідключіться по SSH)

3. Перевірка встановлення Docker

Перевірте, що Docker встановлено та працює коректно.

docker run hello-world # Запускаємо тестовий контейнер hello-world

Ви повинні побачити привітальне повідомлення від Docker.

4. Перевірка встановлення Docker Compose

Переконайтеся, що Docker Compose (v2) встановлено та доступний.

docker compose version # Перевіряємо версію Docker Compose

Очікуваний вивід буде приблизно таким: Docker Compose version v2.26.x (або новіше).

Конфігурація

На цьому етапі ми налаштуємо Traefik та запустимо його разом із демонстраційним застосунком. Для керування Traefik та іншими сервісами ми будемо використовувати Docker Compose.

1. Створення структури каталогів

Створіть каталог для конфігурації Traefik та файл docker-compose.yml.

mkdir -p ~/traefik # Створюємо основний каталог для Traefik
cd ~/traefik # Переходимо до створеного каталогу
touch docker-compose.yml # Створюємо файл Docker Compose
touch traefik.yml # Створюємо основний конфігураційний файл Traefik
touch acme.json # Створюємо файл для зберігання SSL-сертифікатів Let's Encrypt
chmod 600 acme.json # Встановлюємо суворі права для файлу сертифікатів

2. Налаштування DNS

Перш ніж запускати Traefik з Let's Encrypt, вам необхідно налаштувати DNS-записи для ваших доменів. Для кожного домену (або піддомену), який ви плануєте використовувати, створіть A-запис, що вказує на IP-адресу вашого VPS.

Наприклад, якщо ваш VPS має IP 192.0.2.1, а ви хочете використовувати домен example.com та піддомен whoami.example.com, додайте наступні записи в панелі керування вашим DNS-провайдером:

• example.com A 192.0.2.1
• .example.com A 192.0.2.1 (для зручності використання піддоменів)
• whoami.example.com A 192.0.2.1

# traefik.yml
# Глобальна конфігурація Traefik

# Визначаємо точки входу для вхідного трафіку
entryPoints:
  http:
    address: ":80" # Вхідний HTTP-трафік
    http:
      redirections:
        entryPoint:
          to: "https" # Перенаправляємо весь HTTP на HTTPS
          scheme: "https"
  https:
    address: ":443" # Вхідний HTTPS-трафік

# Налаштування API та дашборду Traefik
api:
  dashboard: true # Вмикаємо дашборд Traefik
  insecure: false # Не дозволяємо небезпечний доступ до API (використовуємо автентифікацію)

# Налаштування логів
log:
  level: INFO # Рівень логування (DEBUG, INFO, WARN, ERROR)
accessLog: {} # Вмикаємо логи доступу

# Налаштування провайдера Docker
providers:
  docker:
    endpoint: "unix:///var/run/docker.sock" # Шлях до сокету Docker
    exposedByDefault: false # За замовчуванням не проксіюємо контейнери, якщо немає міток
    network: "web" # Вказуємо мережу, в якій Traefik шукатиме контейнери

# Налаштування сертифікатів Let's Encrypt
certificatesResolvers:
  letsencrypt:
    acme:
      email: "ваш[email protected]" # Вкажіть ваш email для сповіщень Let's Encrypt
      storage: "acme.json" # Файл для зберігання сертифікатів
      httpChallenge:
        entryPoint: "http" # Використовуємо HTTP-челендж через точку входу http

# docker-compose.yml
# Запускаємо Traefik та тестовий застосунок

version: '3.8'

services:
  traefik:
    image: traefik:v3.0 # Використовуємо останню стабільну версію Traefik (на 2026 рік v3.0+)
    container_name: traefik
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true
    ports:
      - "80:80" # Відкриваємо порт 80 для HTTP
      - "443:443" # Відкриваємо порт 443 для HTTPS
      # - "8080:8080" # Порт для дашборду Traefik (не рекомендується відкривати публічно без автентифікації)
    volumes:
      - /etc/localtime:/etc/localtime:ro # Синхронізація часу
      - /var/run/docker.sock:/var/run/docker.sock:ro # Доступ до Docker сокету
      - ./traefik.yml:/etc/traefik/traefik.yml:ro # Основний конфіг Traefik
      - ./acme.json:/acme.json # Файл для сертифікатів Let's Encrypt
    networks:
      - web # Підключаємо Traefik до мережі 'web'
    labels:
      # Мітки для самого Traefik (щоб він міг проксіювати свій дашборд)
      - "traefik.enable=true"
      - "traefik.http.routers.traefik-dashboard.rule=Host(traefik.example.com)" # Домен для дашборду
      - "traefik.http.routers.traefik-dashboard.entrypoints=https"
      - "traefik.http.routers.traefik-dashboard.tls.certresolver=letsencrypt"
      - "traefik.http.routers.traefik-dashboard.service=api@internal"
      - "traefik.http.middlewares.traefik-auth.basicauth.users=admin:$$apr1$$HASH_ПАРОЛЯ" # Замініть HASH_ПАРОЛЯ
      - "traefik.http.routers.traefik-dashboard.middlewares=traefik-auth"
      # Опціонально: перенаправлення HTTP на HTTPS для дашборду
      - "traefik.http.routers.traefik-dashboard.middlewares=redirect-to-https@docker"

  whoami:
    image: traefik/whoami # Тестовий застосунок, який показує інформацію про запит
    container_name: whoami
    restart: unless-stopped
    networks:
      - web # Підключаємо до тієї ж мережі, що й Traefik
    labels:
      - "traefik.enable=true" # Вмикаємо Traefik для цього контейнера
      - "traefik.http.routers.whoami.rule=Host(whoami.example.com)" # Домен для whoami
      - "traefik.http.routers.whoami.entrypoints=https" # Використовуємо HTTPS
      - "traefik.http.routers.whoami.tls.certresolver=letsencrypt" # Дозволяємо сертифікати Let's Encrypt
      - "traefik.http.services.whoami.loadbalancer.server.port=80" # Порт застосунку всередині контейнера

networks:
  web:
    external: true # Використовуємо зовнішню мережу (буде створена вручну)

docker network create web # Створюємо зовнішню мережу Docker з іменем 'web'

docker compose up -d # Запускаємо контейнери у фоновому режимі

docker compose logs -f traefik # Перегляд логів контейнера Traefik