59 lines
2.6 KiB
Markdown
59 lines
2.6 KiB
Markdown
# Traefik-Betrieb
|
|
|
|
Traefik v3.7.13 ersetzt Caddy. Die Routerdefinition liegt unter
|
|
`traefik/dynamic/routes.yml`; ein Docker-Socket ist nicht erforderlich.
|
|
Nur HTTP/HTTPS werden veröffentlicht, das Dashboard ist deaktiviert.
|
|
WhiteNoise liefert statische Dateien aus, Uploads bleiben geschützt.
|
|
|
|
## Öffentliche Domain
|
|
|
|
In `.env` `APP_HOST` ohne Protokoll oder Port und `ACME_EMAIL` setzen.
|
|
DNS muss auf den Server zeigen; TCP 80 und 443 müssen erreichbar sein.
|
|
`docker compose up -d --build --wait` aktiviert HTTPS über Let's Encrypt.
|
|
ACME-Zustand liegt im Volume `traefik_acme` und muss gesichert werden.
|
|
|
|
## Privates LAN
|
|
|
|
Auf Linux mit Python 3 und OpenSSL, im Projektverzeichnis als Administrator:
|
|
|
|
```sh
|
|
# APP_HOST in .env auf die LAN-IP setzen.
|
|
cp docker-compose.lan.yml docker-compose.override.yml
|
|
python3 scripts/renew_local_tls.py --hostname 192.168.188.45
|
|
docker compose up -d --build --wait
|
|
install -m 644 deploy/csr-inventory-tls.service deploy/csr-inventory-tls.timer /etc/systemd/system/
|
|
systemctl daemon-reload
|
|
systemctl enable --now csr-inventory-tls.timer
|
|
systemctl start csr-inventory-tls.service
|
|
```
|
|
|
|
Die mitgelieferten Units setzen `/home/denis/csr-inventory` voraus; bei anderen
|
|
Installationspfaden beide Pfade im Dienst anpassen. Der LAN-Override deaktiviert
|
|
ACME und ergänzt Port 8001 als HTTPS-Weiterleitung.
|
|
|
|
Ohne vorhandene CA erzeugt das Skript eine neue. Zur Übernahme einer bestehenden
|
|
CA vor dem ersten Lauf deren `root.crt` und `root.key` nach `tls/ca/` kopieren.
|
|
Der CA-Schlüssel bleibt auf dem Host und darf nicht verteilt werden. Nur das
|
|
öffentliche Stammzertifikat wird in den Vertrauensspeicher der Clients importiert.
|
|
Auf dem Server 192.168.188.45 wird die bisherige Stamm-CA weiterverwendet.
|
|
|
|
Der Timer prüft täglich um 01:30 Europe/Berlin. Zertifikate gelten 90 Tage und
|
|
werden bei höchstens 30 Tagen Restlaufzeit erneuert. Ein Standardzertifikat
|
|
ermöglicht auch den IP-Zugriff ohne SNI. Die Dateikonfiguration wird atomar
|
|
ersetzt; Traefik lädt sie ohne Neustart. Frühere Zertifikate bleiben erhalten.
|
|
|
|
```sh
|
|
systemctl list-timers csr-inventory-tls.timer
|
|
journalctl -u csr-inventory-tls.service --no-pager
|
|
docker compose logs --tail 100 traefik
|
|
# Erneuerung bei Bedarf erzwingen:
|
|
python3 scripts/renew_local_tls.py --hostname 192.168.188.45 --force
|
|
```
|
|
|
|
`tls/`, `.env`, Uploads und Datenbank separat geschützt sichern. Der tägliche
|
|
Datenbankjob umfasst keine TLS-Schlüssel. `tls/` und die erzeugte `tls.yml`
|
|
sind vom Git-Repository und Docker-Build ausgeschlossen.
|
|
|
|
Referenzen: [File-Provider](https://doc.traefik.io/traefik/providers/file/),
|
|
[TLS-Dateikonfiguration](https://doc.traefik.io/traefik/reference/routing-configuration/other-providers/file/).
|