Configurar Let's Encrypt en traefik

Linode (v4) :: Let’s Encrypt client and ACME library written in Go.

En la documentación de Lego encontraremos algo como lo siguiente:

LINODE_TOKEN=xxxxx \
lego --email myemail@example.com --dns linode --domains my.example.org run

Pero debido a que traefik es quien se encargará de hacer la interacción con Lego debemos ajustar el anterior comando para que traefik sea quien haga de forma interna este comando.

LINODE_TOKEN: este token lo debemos de conseguir desde nuestro panel de control dentro de linode Linode Manager, dentro del panel generaremos un nuevo Personal Access Token y le daremos únicamente permisos para poder leer y escribir dominios. (Mas adelante veremos donde colocar este token).

email: este ya lo hemos indicado en nuestro traefik.yml en el apartado de email de acme, por lo que no es necesario modificar nada.

dns: este ya lo hemos indicado en los parametros de nuestro dnsChallenge en el archivo traefik.yml.

En caso de que se lo pregunten, es correcto los resolvers son las IPs publicas de cloudflare para sus DNS, pero no se preocupen dado que son validos como remplazo a los de linode.

Para entender los volúmenes de mejor forma este es mi estructura de archivos para este contenedor:

+ docker-compose.yml
- data
    | - acme.json
    | - config.yml //este no lo utilizaremos en este tutorial pero puedes crearlo para futuros usos
    | - traefik.yml

Como tal todos los volúmenes serán de tipo read-only ro menos el de acme.json debido a que traefik escribirá y leerá de este archivo para almacenar la información generada por Lego.

Definimos nuestra network llamada proxy en el docker-compose. No es necesario que se llame proxy puede ponerle el nombre que consideres mejor para tu proyecto

services:
  traefik:
    networks:
      - proxy

Y de igual forma dentro de nuestro servicio traefik indicamos las redes a la cual podrá estar conectado nuestro traefik, en este caso solo será a proxy

networks:
  - proxy

Creación de nuestra red llamada proxy en nuestra shell

docker network create proxy

Este apartado variará dependiendo de nuestro proveedor, por lo que vale la pena consultemos en la documentación Let's Encrypt - Traefik y en prestar atención a la columna Enviroment Variables que en mi caso solo requiere la LINODE_TOKEN, y por ejemplo las de cloudflare son CF_API_EMAIL, CF_API_KEY

services:
  traefik:
    environment:
      - LINODE_TOKEN=AQUI PONDREMOS EL TOKEN QUE GENERAMOS ANTES

Hacemos un mapeo de nuestros puertos 80 y 443 para que sean utilizados por los protocolos http y https respectivamente

    ports:
      - "80:80"
      - "443:443"

Este ejemplo es un simple contenedor que corre una aplicación web con el puerto 80 expuesto, por lo que no entraremos en muchos detalles sobre su funcionamiento.

docker-compose.yml:

services:
  app:
    container_name: app
    build:
      dockerfile: Dockerfile
      context: .
    restart: unless-stopped
    networks:
      - proxy
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.app.entrypoints=http"
      - "traefik.http.routers.app.rule=Host(`subdominio.example.com`)"

      - "traefik.http.middlewares.app-https-redirect.redirectscheme.scheme=https"
      - "traefik.http.routers.app.middlewares=app-https-redirect"

      - "traefik.http.routers.app-secure.entrypoints=https"
      - "traefik.http.routers.app-secure.rule=Host(`subdominio.example.com`)"
      - "traefik.http.routers.app-secure.tls=true"
      - "traefik.http.routers.app-secure.service=app"
      - "traefik.http.services.app.loadbalancer.server.port=80"
      - "traefik.docker.network=proxy"

networks:
  proxy:
    external: true

Como notaremos guarda mucha similitud al la configuración que le dimos a al dashboard de traefik. Quizás lo mas llamativo es el tema de que se le tiene que indicar el puerto en el que esta corriendo nuestro contenedor para que funcione la versión https, pero en el resto es lo mismo que vimos anteriormente

Ahora podemos correr nuestro contenedor en el fondo, debido a que si existe un error en la configuración de los labels de traefik, este no nos indicará nada, pero quien si nos puede indicar es el dashboard de traefik, o en ultima instancia podemos apagar traefik y validar los logs al volver a encender (Aunque lo mas óptimo sea visualizar los logs sin apagar el contenedor de traefik).

docker-compose up -d

Con esto ya nuestra nueva aplicación que corre en subdominio.example.com tendrá un certificado valido.

En gran medida esta configuración proviene de este vídeo: Put Wildcard Certificates and SSL on EVERYTHING - Traefik Tutorial - YouTube

Algunas dudas sobre la configuración de linode vienen de este link: Lets Encrypt Certificates with Traefik on Linode

Y por ultimo la propia documentación de traefik Let's Encrypt - Traefik