Rendre un service accessible publiquement

Quand un conteneur Docker doit être accessible depuis l’extérieur de la machine, il y a deux solutions :

• Mapper un port de l’hôte sur un port du conteneur
• Utiliser Traefik

C’est la technique la plus simple. Supposons qu’un conteneur écoute sur son port interne 8080, et qu’on veuille le rendre accessible depuis l’extérieur. On va choisir arbitrairement un port de l’hôte que l’on va mapper dessus, par exemple :

snippet.yaml

services:
  example:
    image: <image>
    ports:
      - 2000:8080

Dans cet exemple, tout ce qui arrive sur le port 2000 de la machine sera redirigé sur le port 8080 du conteneur.

Pour les services web, on préfère largement passer par Traefik, car on pourra utiliser un port standard (80 ou 443) et profiter de toutes ses fonctionnalités (HTTPS automatique, etc).

On configure le fait de router vers un conteneur grâce aux labels Docker. Voici un extrait commenté permettant de router toutes les requêtes arrivant sur Traefik à destination de app.picasoft.net vers le conteneur exemple, sur son port 8080 :

snippet.yaml

networks:
  proxy:
    external: true

services:
  exemple:
    container_name: example
    networks:
      - proxy
    labels:
      # Traefik va prendre ce conteneur en compte
      traefik.enable: true
      # websecure correspond au port 443 de la machine (config Traefik)
      # Remplacer <exemple> par le nom du conteneur
      traefik.http.routers.<exemple>.entrypoints: websecure
      # Il redirigera vers ce port, exposé par le conteneur
      # Remplacer <exemple> par le nom du conteneur
      # Remplacer app.picasoft.net par l'URL souhaitée
      traefik.http.routers.<exemple>.rule: Host(`app.picasoft.net`)
      # Lorsque l'utilisateur consulte cette URL
      # Remplacer <exemple> par le nom du conteneur
      # Remplacer 8080 par le port du service
      traefik.http.services.<exemple>.loadbalancer.server.port: 8080

websecure désigne, dans la configuration Traefik, le port 443. Tout ce qui arrive vers Traefik est redirigé vers cet entrypoint, il faut donc se coller dessus.

Il y a pas mal de cas d’utilisation où une sous-partie d’un site doit être sécurisée par authentification :

• La partie /admin d’un service exposé sur internet mais sans authentification intégrée au service
• La partie /metrics d’un service qui doit être accessible à la solution de monitoring mais pas aux internautes…

La solution consiste à créer un second point d’entrée à l’aide des labels. En reprenant l’exemple de la section précédente, on rajouterait ces labels :

snippet.yaml

# Toujours le même point d'entrée : HTTPS
traefik.http.routers.<exemple>-metrics.entrypoints: websecure
# Ce point d'entrée sera sélectionné uniquement pour les requêtes
# vers app.picasoft.net/metrics et ses dérivés.
traefik.http.routers.<exemple>-metrics.rule: "Host(`app.picasoft.net`) && PathPrefix(`/metrics`)"
# Indique que ce point d'entrée passe par un middleware nommé <exemple>-metrics-auth et qui est
# configuré via les labels Docker (voir juste en dessous)
traefik.http.routers.<exemple>-metrics.middlewares: "<exemple>-metrics-auth@docker"
# Ce middleware est simplement une authentification, qui vient se mettre entre le point d'entrée
# et l'application.
traefik.http.middlewares.<exemple>-metrics-auth.basicauth.users: "test:$2y$10$7Gv5tUZC1UBsTyQs/ZTwmu0jamzBJFnNEY4SMxqdfIYfTyLBDTINm"

La chaîne $2y$10$7Gv5tUZC1UBsTyQs/ZTwmu0jamzBJFnNEY4SMxqdfIYfTyLBDTINm correspond au mot de passe test hashé avec bcrypt.

METRICS_AUTH=test:$2y$10$7Gv5tUZC1UBsTyQs/ZTwmu0jamzBJFnNEY4SMxqdfIYfTyLBDTINm

$ echo $(htpasswd -nb USER PASSWORD)
USER:$apr1$4WpORg/6$.bUMzTnrDPivUXfu7.vvP0