traefik 역방향프록시 어떻게 설정해야하나여.

저 같은 경우는

version: "3.9"

services:
  traefik:
    container_name: Traefik
    image: ${TRAEFIK_IMAGE_TAG}
    command:
      - "--log.level=${TRAEFIK_LOG_LEVEL}"
      - "--log.filePath=/etc/traefik/log/traefik.log"
      - "--accesslog=true"
      - "--api.dashboard=true"
      - "--api.insecure=true"
      - "--ping=true"
      - "--ping.entrypoint=ping"
      - "--entryPoints.ping.address=:8082"
      - "--entryPoints.web.address=:80"
      - "--entryPoints.websecure.address=:443"
      - '--entryPoints.web.http.redirections.entryPoint.to=websecure'
      - '--entrypoints.web.http.redirections.entryPoint.scheme=https'
      - '--entrypoints.web.http.redirections.entrypoint.permanent=true'
      - "--providers.docker=true"
      - '--providers.docker.watch=true'
      - '--providers.docker.network=proxynet'
      - "--providers.docker.endpoint=tcp://dockersocket:2375"
      - "--providers.docker.exposedByDefault=false"
      - "--providers.file.filename=/etc/traefik/rule/traefik.toml"
      - "--providers.file.filename=/etc/traefik/rule/dynamic.toml"
      - "--certificatesresolvers.cloudflare.acme.dnschallenge=true"
      - "--certificatesresolvers.cloudflare.acme.dnschallenge.provider=cloudflare"
      - "--certificatesresolvers.cloudflare.acme.dnschallenge.resolvers=1.1.1.1:53,1.0.0.1:53"
      - "--certificatesresolvers.cloudflare.acme.caserver=https://acme-v02.api.letsencrypt.org/directory"
      - "--certificatesresolvers.cloudflare.acme.KeyType=EC256"
      - "--certificatesresolvers.cloudflare.acme.storage=/etc/traefik/acme/acme.json"
      - "--metrics.prometheus=true"
      - "--metrics.prometheus.buckets=0.1,0.3,1.2,5.0"
      - '--metrics.prometheus.addServicesLabels=true'
      - '--metrics.prometheus.addrouterslabels=true'
      - '--metrics.prometheus.addEntryPointsLabels=true'
      - "--global.checkNewVersion=true"
      - "--global.sendAnonymousUsage=false"
      - "--experimental.http3=true" # QUIC 활성화
      - "--entrypoints.websecure.http3" # QUIC 활성화
      - "--entrypoints.websecure.http3.advertisedport=443" # QUIC 활성화
      - "--experimental.plugins.geoblock.modulename=github.com/PascalMinder/geoblock" #geoblock 플러그인
      - "--experimental.plugins.geoblock.version=v0.2.7" #geoblock 플러그인
      - "--experimental.plugins.crowdsec-bouncer-traefik-plugin.modulename=github.com/maxlerebourg/crowdsec-bouncer-traefik-plugin" #crowdsec 플러그인
      - "--experimental.plugins.crowdsec-bouncer-traefik-plugin.version=v1.2.0" #crowdsec 플러그인
    environment:
      - CF_DNS_API_TOKEN=${CF_DNS_API_TOKEN}
      - TZ=Asia/Seoul 
    network_mode: "proxynet"
    volumes:
      - /mnt/cache/appdata/Reverse_Proxy/traefik/acme:/etc/traefik/acme
      - /mnt/cache/appdata/Reverse_Proxy/traefik:/etc/traefik
      - /mnt/cache/appdata/Reverse_Proxy/traefik/rule:/etc/traefik/rule
      - /mnt/cache/appdata/Reverse_Proxy/traefik/log:/etc/traefik/log
    ports:
      - "80:80"
      - "443:443/tcp"
      - "443:443/udp" # QUIC 활성화
      - "8080:8080/tcp"
    healthcheck:
      test: ["CMD", "wget", "http://localhost:8082/ping","--spider"]
      interval: 20s
      timeout: 5s
      retries: 3
      start_period: 5s
    labels:
      - "traefik.enable=true"
      - "traefik.http.services.dashboard.loadbalancer.server.port=8080"
      - "traefik.http.services.dashboard.loadbalancer.passhostheader=true"
    restart: unless-stopped
    logging:
      options:
        max-size: "20m"

이렇게 설정하고, 대쉬보드는 도메인 할당이 필요없을 것 같아서 아예 라벨에서 제외했습니다.

그리고, 별도의 treafik.toml 파일에

[global]
    sendAnonymousUsage = false
    checkNewVersion = true

[api]
    dashboard = true
    insecure = true
    debug = true

[log]
    level = "ERROR"
    filePath = "/etc/traefik/log/traefik.log"

[accessLog]
    filePath = "/etc/traefik/log/access.log"

[ping]
    entryPoint = "ping"

[entryPoints]
    [entryPoints.web]
        address = ":80"

    [entryPoints.web.http.redirections]
        [entryPoints.web.http.redirections.entryPoint]
            to = "websecure"
            scheme = "https"
            permanent = true

    [entryPoints.websecure]
        address = ":443"
        [entryPoints.websecure.http3]
            advertisedPort = 443

    [entryPoints.ping]
        address = ":8082"

[providers]
    [providers.file]
        watch = true
        filename = "/etc/traefik/dynamic.toml"
  
    [providers.docker]
        endpoint = "tcp://dockersocket:2375"
        exposedByDefault = false
        network = "proxynet"
        watch = true

[certificatesResolvers.cloudflare.acme]
  storage = "/etc/traefik/acme/acme.json"
  [certificatesResolvers.cloudflare.acme.dnsChallenge]
    provider = "cloudflare"
    resolvers = ["1.1.1.1:53", "1.0.0.1:53"]

[metrics]
    [metrics.prometheus]
        buckets = [0.1,0.3,1.2,5.0]
        addEntryPointsLabels = true
        addRoutersLabels = true
        addServicesLabels = true

[experimental]
    http3 = true

 지정하였고(지금 잘 기억은 안나는데 이 부분에서 http를 https로, 그리고 http3로 연결하게 하던 걸로 기억하는..), 아, 위에 compose 파일에도 entrypoints가 있긴 하네요. 중복으로 들어간 듯한..?

dynamic.toml 파일에

[http]
    [http.middlewares.security-headers.headers] #보안미들웨어
      browserXssFilter = true # 브라우저의 내장 XSS(크로스 사이트 스크립팅) 필터를 활성화
      contentTypeNosniff = true #브라우저가 응답의 MIME 유형을 추측하지 못하게 하여, MIME 유형 변조 공격을 방지
      forceSTSHeader = true #  HTTP Strict Transport Security(HSTS)를 구성
      stsPreload = true # HTTP Strict Transport Security(HSTS)를 구성
      stsSeconds = 31536000 # HTTP Strict Transport Security(HSTS)를 구성
      stsincludesubdomains = false # HTTP Strict Transport Security(HSTS)를 구성
      isdevelopment = false #개발 모드를 비활성화
      referrerPolicy = "strict-origin-when-cross-origin"
      customRequestHeaders.X-Forwarded-Proto = "https, wss" #이 헤드를 헤더를 "https, wss"로 설정, 프록시된 요청이 HTTPS/WSS(WebSocket Secure)로 이루어짐으로 나타냄
      
    [http.middlewares.security-nextcloud.headers] #넥스트클라우드 커스텀. referrerPolicy 추가.
      browserXssFilter = true
      contentTypeNosniff = true
      forceSTSHeader = true
      stsPreload = true
      stsSeconds = 31536000
      stsincludesubdomains = false
      isdevelopment = false
      referrerPolicy = "no-referrer" #브라우저는 Referer 헤더를 전혀 보내지 않음, __Host-Prefix 용
      customRequestHeaders.X-Forwarded-Proto = "https, wss"

    [http.middlewares.www-to-Root.redirectRegex] #정규 표현식을 사용하여 요청을 다른 위치로 리다이렉트
      regex = "^https?://www\\.(.+)" #“www” 서브도메인에서 루트 도메인으로의 리다이렉트를 설정
      replacement = "https://${1}"
      permanent = true

    [http.middlewares.normal-compress.compress] #압축미들웨어(기본)
      minResponseBodyBytes = 1024
    
    [http.middlewares.large-compress.compress] # 압축미들웨어(라지, 넥클같은 고용량 클라우드 용?)
      minResponseBodyBytes = 8192  
    
    [http.middlewares.ratelimit-normal.ratelimit] # rate limiting을 설정
      average = 100 #특정 시간 동안 허용되는 평균 요청 수를 지정, 이 설정은 초당 100
      burst = 50  #일시적인 요청의 폭증을 처리하기 위한 버퍼를 지정
   
    [http.middlewares.ratelimit-large.ratelimit] # 대용량 파일, 동시 여러 미디어 스트리밍 등.
      average = 1000
      burst = 500  

    [http.middlewares.retry.retry] #재시도(retry) 미들웨어, 서비스 일시 불능 or 응답X 때 요청을 자동 재시도
      attempts = 3 #3회 재시도도
      

  [http.routers] #Traefik에서 HTTP 요청을 처리하는 라우터를 정의
    [http.routers.nextcloud] #넥스트클라우드 이름의 라우터 정의
      rule = "Host(`도메인`)" # 라우터가 어떤 요청을 처리할지를 결정하는 규칙을 정의, ''안의 도메인으로 들어오는 모든 요청 처리
      service = "nextcloud-aio" # 라우터가 요청을 전달할 서비스를 지정
      entrypoints = ["websecure"] #라우터가 수신할 네트워크 진입점을 지정
      middlewares = ["crowdsec", "my-geoblock2", "security-nextcloud", "www-to-Root", "large-compress", "ratelimit-large", "retry"] #사용할 미들웨어
      [http.routers.nextcloud.tls] # 라우터가 TLS(Transport Layer Security)를 사용하여 요청을 처리하도록 설정
        certresolver = "cloudflare" # TLS 인증서를 해석하는데 사용할 CertResolver를 지정
        domains = [ { main = "*.도메인" } ] #인증서를 발급받을 도메인을 지정

  [http.services] #Traefik에서 사용할 서비스를 정의, 서비스는 라우터로부터 요청을 받아 처리
    [http.services.nextcloud-aio.loadBalancer] #로드 밸런서 서비스를 정의, 로드 밸런서는 여러 서버 간에 요청을 분산
      [[http.services.nextcloud-aio.loadBalancer.servers]] #서비스가 요청을 전달할 서버의 URL을 지정
        url = "http://도커 내부 ip:포트번호"

[tls.options] # Traefik에서 사용할 TLS 옵션을 정의
  [tls.options.default]
    minVersion = "VersionTLS12"
  [tls.options.mintls13]
    minVersion = "VersionTLS13"

여러 미들웨어를 만들고, 라우터를 정의하고, 라우터에 미들웨어를 연결하고, 라우터가 사용할 와일드카드 도메인을 만들고 했습니다.

또 서비스에 연결할 도커 내부 ip 주소를 설정하고요.

저도 뭐, navystack님 도움 많이 받고 한 거라, 자세히 알지는 못합니다만... 조금이나마 도움이 되었으면 하네요/

본문의 내용을 제 나름 정리해 보면 이렇습니다.

docker-compose.yml

version: "3.9"

services:
  traefik:
    image: traefik:v2.11.0
    restart: unless-stopped
    logging:
      options:
        max-size: "10m"
    healthcheck:
      test: ["CMD", "wget", "http://localhost:8082/ping", "--spider"]
      interval: 10s
      timeout: 2s
      retries: 3
      start_period: 5s    
    environment:
      - CLOUDFLARE_EMAIL=test@nate.com
      - CLOUDFLARE_DNS_API_TOKEN=-123456789123456789
    labels:
      - traefik.enable=true                  
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - ./etc/traefik.toml:/etc/traefik/traefik.yml
      - ./etc/dynamic.toml:/etc/traefik/dynamic.yml
      - ./traefik-certificates:/etc/traefik/acme
    networks:
      - traefik-network
    ports:
      - target: 80
        published: 9080
        mode: host
      - target: 443
        published: 9443
        mode: host
        protocol: tcp
      - target: 443
        published: 9443
        mode: host
        protocol: udp
      # traefik api는 굳이 8080 매핑할 필요 없이 80 이나 443의 라우팅으로 접근하세요.
      #- target: 8080
      #  published: 9085
      #  mode: host
      #  protocol: tcp
networks:
  traefik-network:
    external: true
volumes:
  traefik-certificates:
    driver: local
    driver_opts:
      o: bind
      type: none
      device: ./etc/traefik/ssl/

log:
  level: WARN

accessLog: {}

providers:
  docker:
    network: traefik-network    
    #defaultRule: '' # 자동으로 라우팅 룰 만들어지는 걸 원치 않을 경우    

entryPoints:
  web:
    address: :80
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
  websecure:
    address: :443

certificatesresolvers:
  letsencrypt:
    acme:
      email: test@nate.com
      httpChallenge:
        entryPoint: web
      dnsChallenge:
        provider: cloudflare
        delayBeforeCheck: 30s
        resolvers:
          - 1.1.1.1:53
          - 8.8.8.8:53

dynamic.yaml - 동적 설정이라 수정시 바로 적용

tls:
  stores:
    default:
      defaultGeneratedCert:
        resolver: letsencrypt
        domain:
          main: '*.domain.com'
          sans:
            - domain.com
http:
  services:
    # 자동으로 등록되는 도커의 서비스 외에 추가로 정의
    my_drive:
      loadBalancer:
        servers:
          - url: http://1.2.3.4.5:8080
          - url: http://my.drive.com:12345

  routers:
    dashboard:
      rule: Host(`dash.domain.com`)
      service: api@internal
      tls: {}
    blog:
      rule: Host(`blog.domain.com`)
      service: blog@docker # 자동으로 등록되는 도커의 이름은 대시보드에서 확인
      # tls: {} # tls 옵션이 없을 경우 인증서 적용 안됨
    drive:
      rule: Host(`drive.domain.com`)
      service: my_drive@file # 위의 services에서 정의한 서비스
      tls: {}
      entryPoints: # entryPoints를 정의하지 않으면 모든 entryPoints 적용
        - web
    cam:
      rule: Host(`cam.second-domain.com`)
      service: cam@docker
      tls:
        certResolver: letsencrypt
        domains:
          - main: '*.second-domain.com'
            sans:
              - second-domain.com