[🕰️ Outdated] Traefik V3 Installation, Konfiguration und CrowdSec-Security

Wenn mehrere Dienste auf demselben Server über Port 80 (HTTP) oder 443 (HTTPS) kommunizieren, kann es zu Port-Konflikten kommen, da normalerweise nur ein Dienst einen bestimmten Port zur gleichen Zeit belegen kann. Traefik löst dieses Problem als Reverse-Proxy und Load-Balancer.

Traefik leitet alle eingehenden Anfragen auf Port 80 oder 443 an die richtigen Dienste weiter. Dies geschieht anhand von konfigurierten Regeln, die das Routing bestimmen. So wird sichergestellt, dass jeder Dienst erreichbar ist, ohne dass Port-Konflikte entstehen. Nutze Traefik für eine effiziente und reibungslose Kommunikation der Webdienste.

In wie weit unterscheidet sich diese zu der bisherigen vorhandenen Anleitung?

Die bisherige Anleitung ist etwas gealtert.
Es gab viele wichtige Kommentare, Fragen und Anregungen – vielen Dank dafür!
Traefik Major Release Version 3

Inhaltsverzeichnis

Diese Anleitung ist nicht mehr die aktuelle und WIRD NICHT MEHR GEPFLEGT. Hier geht’s zur neuen Anleitung:
https://stage.goneuland.de/traefik-ab-v3-6-mit-crowdsec-installieren-und-konfigurieren/

Versionierung

Datum	Änderung
Hinweis	Um die Docker-API-Problematik zu umgehen, kann in der Datei `/opt/containers/traefik-crowdsec-stack/.env` die Variable `SERVICES_TRAEFIK_IMAGE_VERSION=3.6` ergänzt werden. Diese Einstellung überschreibt die in `compose/traefik.yml` definierte Standard-Image-Version von Traefik.
06.12.2025	Kapitel 7.2.: SERVICES_TRAEFIK_IMAGE_VERSION in traefik.yml auf aktuellen Stand (3.6) gebracht.
12.04.2025	Kapitel 7.4.3.: In einzelne Middlewares aufgeschlüsselt und Header security um fehlenden Punkte erweitert.
08.04.2025	Kapitel 7.2.: Entfernen von default@file und Bouncer-Tausch default@file entfernt, da stets automatisch zugewiesen. Bouncer durch gepflegten Fork von FreifunkMUC ersetzt.
07.04.2025	Kapitel 7.2.: Elementare Änderungen im docker-socket-proxy von linuxserver.io wodurch der Healthcheck fehlschlägt.
24.03.2025	Kapitel 7.2.: Schreibfehler korrigiert (@nicklas) Kapitel 7.4.6.: Schreibfehler korrigiert (@nicklas) Kapitel 7.5.1.: Hinweis zu Debian 12 hinzugefügt (@christian)
02.02.2025	Kapitel 7.2: Fehler in der Compose von Traefik behoben (@thedj) / Traefik-Version auf 3.3 angepasst.
10.10.2024	Kapitel 7.3.1.: Hinweis erweitert (@steje) Kapitel 7.2. & Kapitel 7.3.2.: Anbindung von CrowdSec an den Docker-Socket-Proxy / Github aktualisiert
09.10.2024	Kapitel 7.5.1. & Kapitel 8.1.: Um Hinweis ergänzt (@Dearmon)
07.10.2024	Initialer Release

Zeitliche Entwicklung des Artikels

WICHTIG!

Diese Anleitung nimmt keine Rücksicht auf die alte Anleitung. Ich werde schauen, dass ich eine gesonderte Anleitung für den Umstieg schreibe. Grundsätzlich ist es möglich in dem man alle Docker Container und Netzwerke herunterfährt dann diese Anleitung durchläuft und die Container nach und nach wieder hochfährt. Zu beachten gilt an dieser Stelle dann nur ein kleiner Unterschied in Angabe des Host in den Labels:

traefik.http.routers.nginx-mailcow-secure.rule: "Host(`mail.euredomain.de`) || Host(`autodiscover.euredomain.de`) || Host(`autoconfig.euredomain.de`) || Host(`mta-sts.euredomain.de`) || Host(`imap.euredomain.de`) || Host(`pop3.euredomain.de`) || Host(`smtp.euredomain.de`)"
Code-Sprache: JavaScript (javascript)

traefik.http.routers.nginx-mailcow-secure.rule: Host(`mail.euredomain.de`,`autodiscover.euredomain.de`,`autoconfig.euredomain.de`,`mta-sts.euredomain.de`,`imap.euredomain.de`,`pop3.euredomain.de`,`smtp.euredomain.de`)
Code-Sprache: CSS (css)

0. Testing

Ich werde versuchen, diese Anleitung so aktuell wie möglich zu halten. Die Kompatibilität der Anleitung und der dazugehörigen Konfigurationen kann im zugehörigen GitHub-Repository eingesehen werden. Ich empfehle, das GitHub-Repository nur dann zu verwenden, wenn du diese Anleitung bereits mehrfach durchgearbeitet hast oder generell ein erfahrener Anwender im Bereich Server- und Docker-Administration bist.

Repository-Link: https://github.com/psycho0verload/traefik-crowdsec-stack

1. Zielsetzung

Traefik v3 installieren und konfigurieren
Crowdsec installieren und konfigurieren
Traefik Services via CrowdSec sichern
Einzelner Stack
Wie wir unsere Services mit Traefik verfügbar machen

Ein dynamisches, farbenfrohes Bild, das das Konzept der Zielsetzung illustriert. Im Hintergrund ist ein Berggipfel mit einer Fahne zu sehen, der den Erfolg symbolisiert. Im Vordergrund plant eine vielfältige Gruppe von Menschen mit verschiedenen Werkzeugen und Karten enthusiastisch ihre Wege zum Gipfel. Es gibt Elemente wie Kompasse, Diagramme und Vision Boards. Der Himmel ist hell mit Sonnenstrahlen, die durch die Wolken brechen, und vermittelt Hoffnung und Klarheit. Die Atmosphäre ist motivierend und zukunftsorientiert, mit einem Fokus auf Zusammenarbeit und Entschlossenheit.

2. Voraussetzung

Um die Installation und Konfiguration von Traefik v3 und CrowdSec durchzuführen, müssen die folgenden Systemanforderungen erfüllt sein:

Ubuntu 24.04 LTS – “Noble” oder Debian 12 LTS – “Bookworm”
Docker version 27.x
Docker Compose version v2.28.x
root-Rechte auf dem Zielsystem

2.1. Hinweis

Diese Anleitung basiert auf meiner persönlichen Testumgebung, in der ich hauptsächlich mit der aktuellen Ubuntu-Version arbeite. Dennoch werde ich den gesamten Prozess auch auf der neuesten Debian-Version testen und bereitstellen.

Es ist möglich, dass die Anleitung auch rückwärtskompatibel zu älteren Versionen von Ubuntu und Debian ist. Dies werde ich jedoch weder testen noch sicherstellen.

Mir ist bekannt, dass es inzwischen ein CrowdSec-Plugin für Traefik gibt, allerdings möchte ich alle Möglichkeiten von CrowdSec in meinen Umgebungen voll ausschöpfen.

Wichtiger Hinweis:
ALLE Befehle werden als root-User ausgeführt!

Ein detailliertes Bild, das das Konzept der Systemvoraussetzungen illustriert. Im Hintergrund ist ein modernes Computersystem mit mehreren Monitoren zu sehen, auf denen technische Spezifikationen, Diagramme und Charts angezeigt werden. Im Vordergrund analysiert und diskutiert eine Gruppe von Menschen mit verschiedenen technischen Werkzeugen und Geräten diese Anforderungen. Es gibt Elemente wie Code-Schnipsel, Hardware-Komponenten und Baupläne. Das Setting ist ein High-Tech-Labor mit futuristischen Elementen, das ein Gefühl von Präzision und Raffinesse vermittelt. Die Atmosphäre ist konzentriert und professionell, mit einem klaren Fokus auf Zusammenarbeit und technisches Fachwissen.

Autor

psycho0verload

Von klein auf interessiere ich mich für verschiedene Themen im Bereich IT. Beruflich hat es mich in den medizinischen Sektor verschlagen, aber das Hobby ist geblieben. Auf der Suche nach der ein oder anderen Anleitung habe ich begonnen diese für mich selbst zu Dokumentieren und freue mich sehr darüber, dass ich auf GoNeuland mit veröffentlichen darf!

Alle Beiträge ansehen

Das könnte dich auch interessieren:

277 Kommentare

Neueste

Älteste Am besten besten Bewertet

sts(@sts)

10 Monate zuvor

#6468

Hallo,

irgendwie ist bei mir der Wurm drin. Es hat alles soweit gut funktioniert. Nach einem Server Neustart komme ich allerdings nicht mehr auf meine Website. Es kommt immer der Fehler “404 page not found”

Mein Dyndns Account ipv4 zeigt auf die Fritzbox, danach wird an den Server weitergeleitet.
Ipv6 lasse ich nur den Präfix an den Dyndns-Account routen und der Suffix bleibt fest. Den Suffix habe ich vom Server genommen. ALso Dyndns-ipv6 zeigt direkt auf den Server.
Ich hoffe, das passt so. Falls nicht, lasst es mich bitte wissen.
Ich hab im Moment keinen Plan mehr, wo ich noch schauen soll.

Danke schon mal und mit freundlichen Grüßen,
Stefan

Antworten anzeigen (3)

jko(@jko)

10 Monate zuvor

#6465

Hallo,
ich habe die anleitung umgesetzt,muß aber leider irgendwo noch einen fehler gemacht haben. Der aufruf des websites führt zu folgender fehlermeldung:

Fehler: Gesicherte Verbindung fehlgeschlagen

Beim Verbinden mit traefik.x.x trat ein Fehler auf. Die SSL-Gegenstelle hat kein Zertifikat für den angeforderten DNS-Namen.

Fehlercode: SSL_ERROR_UNRECOGNIZED_NAME_ALERT

Die Website kann nicht angezeigt werden, da die Authentizität der erhaltenen Daten nicht verifiziert werden konnte.
Kontaktieren Sie bitte den Inhaber der Website, um ihn über dieses Problem zu informieren.

Weitere Informationen…

Es scheint, als ob kein certifikat vorhanden ist. Kann jemand helfen?
Danke!

Antworten anzeigen (3)

sts(@sts)

10 Monate zuvor

#6451

Hallo,

ich habe das Problem, dass alle internen Anfragen an die Fritzbox-Website gehen.
Ich möchte natürlich auch von intern z.B. nextcloud.xxx.de erreichen.
Geht das üerhaupt?

Vielen Dank schon mal,
Stefan

Antworten anzeigen (1)

heikol(@heikol)

10 Monate zuvor

#6437

Hallo Zusammen,
der Traefik Stack läuft und stellt dienste aus anderen Docker-Containern bereit.
Ich benötige nun eine Weiterleitung auf einen anderen Server außerhalb vom Dockercontainer.
Könnt Ihr mir mitteilen welche Konfigurationen ich anpassen muss, habt ihr ein Beispiel in euerer Umgebung die mit der Anleitung hier zusammenpassen.

Herzlichen Dank, Heiko

Antworten anzeigen (3)

Frank(@muelleimer)

11 Monate zuvor

#6395

Hat schon jemand versucht diese Anleitung auf Docker Swarm um zubauen ?

Antworten anzeigen (1)

VeePay(@veepay)

11 Monate zuvor

#6392

klappt diese Anleitung auch noch auf Debian13?
Ich führe alles nach Anleitung durch, jedoch kann ich nicht auf Traefik zugreifen.
Die von mir gewählte Domain in der .env – traefik.domain.de ist nicht erreichbar

Antworten anzeigen (4)

hubort(@hubort)

11 Monate zuvor

#6357

Großartige Anleitung, danke dir vielmals!

Docker 29 habe ich als Anlass genommen, endlich von v2 auf v3 zu wechseln. Mit Traefik v3.6.1 ging dann auch alles wieder.
Dank der übersichtlichen, gut geschriebenen Anleitung, konnte ganz entspannt umziehen.

Ein einziger, klitzekleiner Verbesserungsvorschlag: In Abschnitt 7.3.4 wird

GIN_MODE="debug" # Wenn das System sauber läuft kann hier "release" gesetzt werden

angegeben. Gerne im Kapitel 9 oder 10 noch unterbringen, dass das angepasst wird, dann vergisst das auch niemand. 🙂

Antworten anzeigen (3)

boba(@boba)

11 Monate zuvor

#6353

Ich habe die neue Traefik Version 3.6.1 auf allen meinen Servern eingespielt. Bei einem einzigen habe ich das Problem das der Socket Proxy nicht hochfährt. Medlung: “dependency failed to start: container socket-proxy is unhealthy”. Kann mir jemand sagen welche abhängigkeiten beim Socket Proxy bestehen, das dieser Healthy ist?

bifroest(@bifroest)

11 Monate zuvor

#6343

Hallo,

Falls jemand unter dem selben Problem leidet.
Docker 29 funktioniert mit der aktuellen Traefik Version (in meinem Fall 3.6.) nicht da die Docker API 1.44 nicht unterstützt wird die zwingend von Docker 29 benötigt wird.

Es gibt auch schon ein Issue

Lösung ist hier dafür das man derweil sobald ein Update von Traefik kommt auf der version 28 bleibt per versionlock bei DNF z.b

Antworten anzeigen (14)

Stew5228(@stew5228)

1 Jahr zuvor

#6340

Hallo in die Runde 🙂
Die Anleitung hat super funktioniert – ich habe traefik mit einer netcup-Domain ans laufen bekommen. Auch das Einbinden von Portainer hat funktioniert.

Traefik läuft bei mir auf einem Proxmox-Server in einem Debin 12 LXC mit Docker-Installation. Auf dem Server läuft noch ein weiterer LXC für meine pihole-Instanz.

Ich würde gerne pihole ebenfalls über traefik erreichbar machen, um die SSL-Fehler im HomeLab loszuwerden. Dazu habe ich in dem Ordner dynamic_conf eine pihole.yml mit folgendem Inhalt angelegt:

http:
routers:
  router-pihole:
   rule: “Host(pihole.meinedomain.de)”
   service: pihole
   tls:
    certResolver: letsencrypt
services:
  pihole:
   loadBalancer:
    servers:
     – url: http://<localIP>:80

MeineDomain und <localIP> entsprechen selbstverständlich meinen Namen/Adressen.
Leider erhalte ich mit der Konfiguration nur den Fehler 404 über das traefik-Dashboard. Könnte es sein, dass die Syntax falsch ist? Falsche Zeichen?

Was habe ich falsch gemacht? Wie verweise ich richtig auf Dienste, die auf einem anderen Host laufen? Ich freue mich sehr, wenn mir einer von euch helfen könnte!

EDIT: Habs selbst hinbekommen – der Entrypoint darf nicht drin stehen und ich hatte einen Syntaxfehler. Ich habe jetzt zwar noch immer den Dienst nicht erreichbar, scheint aber ein SSL-Fehler zu sein

Last edited 1 Jahr zuvor by Stew5228