📝 Traefik 2, utiliser le binaire sans docker

Traefik est un edge routeur et load-balancer conçu à la base pour des infrastructures composées de conteneurs. Néanmoins, il est possible de le faire fonctionner directement via le binaire et de profiter de ses capacités pour des services hors conteneurs.

L'intérêt d'utiliser le binaire plutôt que le conteneur peut se discuter longuement, mais ce n'est pas l'objectif ici. Pas de présentation ni de réflexion autour de Traefik dans cette documentation, si vous recherchez une présentation ça se passe là-bas.

Objectif : Utiliser Traefik sans docker, directement avec le binaire en Go

Environnement : Debian 12, Traefik 2.10.3.

Contexte d'exécution :

jho@vmi866042:/etc/traefik$ tree
.
├── dynamic
│   ├── general.yml
│   ├── routersservices.yml
├── traefik.yml
├── acme.json

• dossier où se trouvent tous les fichiers et dossiers pour cet exemple : /etc/traefik/
• emplacement du fichier de configuration principal de Traefik : /etc/traefik/traefik.yml
• dossier où se trouvent les configurations de Traefik (fichiers dynamiques) : /etc/traefik/dynamic
• dossier où se trouvent les journaux d'événements (logs) : /var/logs/

Préparation du système

Commencez par télécharger le binaire depuis le dépôt GitHub Traefik : https://github.com/containous/traefik/releases. J'utiliserai la version 2.10.3 et une VM ayant comme base une Debian 12.1. Les tests ont aussi été réalisés avec succès sur une Ubuntu 22.04.2.

cd /tmp && wget https://github.com/traefik/traefik/releases/download/v2.10.3/traefik_v2.10.3_linux_amd64.tar.gz && tar xzvf traefik_v2.10.3_linux_amd64.tar.gz

Pour tester son fonctionnement rapidement, lancez le binaire et regardez les ports en écoute sur votre machine :

./traefik
ss -ntlp # doit retourner ce genre d'informations :

LISTEN  0       128                  *:80                  *:*      users:(("traefik",pid=450,fd=3))  

Sans fichier de configuration ni autre option, Traefik écoutera par défaut sur le port 80. Il n'y aura ni redirection automatique, pas de gestion du TLS, aucune redirection vers vos services internes, pas d'accès au tableau de bord ou autres options... Uniquement une écoute sur le port 80.

Copions le binaire dans l'emplacement système étudié pour, avec les droits d'exécution et le propriétaire "root" :

cp /tmp/traefik /usr/bin/.
chown root: /usr/bin/traefik
chmod 755 /usr/bin/traefik

L'utilisateur root est nécessaire. En effet, Traefik doit avoir un maximum de privilèges système pour se mettre en écoute sur les ports système, notamment le 80 et le 443. À l'avenir, j'étudierai la possibilité de se passer de l'utilisateur et des droits root.

Tout comme pour la version docker, l'utilisateur est "traefik" et le dossier par défaut /etc/traefik pour ses fichiers de configuration.
Après avoir téléchargé le binaire, il faut recréer cette configuration (dossiers, utilisateur, droits).

groupadd traefik
useradd -g traefik --no-user-group -d /etc/traefik --no-create-home -s /usr/sbin/nologin -r traefik

mkdir -p /etc/traefik/dynamic
chown -R traefik: /etc/traefik/.

touch /var/log/traefik.log && chown traefik: /var/log/traefik.log

Dans mes précédents fichiers de configuration pour Traefik, j'utilise le dossier /etc/traefik/dynamic pour y stocker les configurations dites "dynamiques".

Le fichier de log se situe dans le dossier /var/log, qui est le chemin habituel. La configuration principale de Traefik se trouvera dans le dossier racine (/etc/traefik) et les configurations personnalisées seront dans le dossier /etc/traefik/dynamic.

Préparation pour Traefik

Générons maintenant le fichier de configuration principal, ici le fichier /etc/traefik/traefik.yml.

---
global:
  sendAnonymousUsage: false
  checkNewVersion: false

api:
  dashboard: true

log:
  filePath: "/etc/traefik/applog.log"
  format: json
  level: "ERROR"

providers:
  docker:
    endpoint: unix:///var/run/docker.sock
    exposedByDefault: false
    watch: true
    swarmMode: false
  file:
    directory: "/dynamic"
    watch: true

entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
  websecure:
    address: ":443"

J'ai commenté la partie redirection automatique HTTP vers HTTPS, à titre indicatif. Ce bloc n'est pas nécessaire ici pour le premier démarrage.

À présent, créons le fichier service pour systemd à l'emplacement /lib/systemd/system/. Voici le contenu du nouveau fichier traefik.service :

# /lib/systemd/system/traefik.service
[Unit]
Description=traefik service
After=network-online.target

[Service]
Type=simple
User=root
Group=root
Restart=on-failure
TimeoutStopSec=300
ExecStart=/usr/bin/traefik --configFile=/etc/traefik/traefik.yml

[Install]
WantedBy=multi-user.target

Ajoutons les droits au fichier, mettons à jour la base systemd et lancement !

chown root: /lib/systemd/system/traefik.service && chmod 644 /lib/systemd/system/traefik.service

systemctl daemon-reload && systemctl start traefik.service

À présent, Traefik doit être actif et prêt à rediriger vos requêtes. Le fichier de configuration traefik.yml cité plus haut est vraiment basique, mais fonctionnel.

Pour accéder au tableau de bord, ouvrez un navigateur et saisissez l'adresse IP de votre serveur suivi du port 8080. Traefik est désormais fonctionnel et prêt à l'emploi. À présent, il est temps de configurer quelques routeurs pour accéder à vos services… !

Bonus — rôle Ansible

Installer manuellement est une chose, pratique pour étudier l'outil et comprendre la mise en place. J'ai créé un rôle Ansible pour installer Traefik, qui est en fait un résumé de cet article. Tout est récupérable directement dans ce dépôt GitHub : https://github.com/Mettmett/ansible-traefik