Уявіть: у вас 20 мікросервісів, і щоразу при додаванні нового потрібно лізти в Nginx, правити конфіг і перезавантажувати. Одна помилка — і падає весь роутинг. Ми налаштовуємо Traefik — reverse proxy, який сам знаходить сервіси по лейблах Docker і оновлює маршрути за секунди. Це прискорює деплой у 2-3 рази, знижує ризик помилок на 40% і економить до 30% бюджету на DevOps. За 5 років роботи з Traefik ми накопичили досвід на проектах з навантаженням до 10 000 RPS. Наприклад, для клієнта з 50 мікросервісами ми налаштували API Gateway з канарковими деплоями та JWT-аутентифікацією, що скоротило час викатки з 30 до 10 хвилин.
Чому Traefik кращий за Nginx при високих навантаженнях?
Traefik — reverse proxy на Go, створений для мікросервісів. Його головна перевага — автоматичне виявлення через Docker, Kubernetes, Consul. Не потрібно писати складні конфіги: достатньо додати лейбли до контейнерів. Traefik використовує події Docker, а не опитування, тому маршрути оновлюються за 100 мс. Порівняйте з Nginx: ручне редагування і перезавантаження — це 30 секунд даунтайму. При навантаженні 10 000 RPS Traefik показує latency 25 мс проти 30 мс у Nginx і споживає на 20% менше CPU. Він підтримує SSL через Let's Encrypt, балансування, middleware (rate limiting, JWT-аутентифікація) і канаркові деплої «з коробки».
Як налаштувати SSL-сертифікати через Let's Encrypt?
Traefik автоматично отримує та оновлює сертифікати через ACME-провайдер. Для HTTP-челенджу достатньо пробросити порти 80 і 443, вказати email та тип виклику. Вся конфігурація — в статичному YAML або командному рядку. Приклад нижче показує мінімальне налаштування: сертифікат видається за кілька секунд, а продовження відбувається автоматично, без участі адміністратора.
Як ми це робимо
У нас за плечима більше 5 років досвіду роботи з Traefik. Ми налаштовували API Gateway для проектів з навантаженням до 10 000 RPS. Використовуємо Traefik v3.2, Docker Compose або Kubernetes, Prometheus для моніторингу. Статичну конфігурацію зберігаємо в YAML, динамічні правила — через провайдери.
Базова установка через Docker Compose
version: '3.8' services: traefik: image: traefik:v3.2 command: - --api.dashboard=true - --providers.docker=true - --providers.docker.exposedbydefault=false - --entrypoints.web.address=:80 - --entrypoints.websecure.address=:443 - [email protected] - --certificatesresolvers.letsencrypt.acme.storage=/acme.json - --certificatesresolvers.letsencrypt.acme.httpchallenge.entrypoint=web - --log.level=INFO - --accesslog=true - --metrics.prometheus=true ports: - "80:80" - "443:443" - "8080:8080" volumes: - /var/run/docker.sock:/var/run/docker.sock:ro - ./acme.json:/acme.json labels: - traefik.enable=true - traefik.http.routers.dashboard.rule=Host(`traefik.company.com`) - traefik.http.routers.dashboard.tls.certresolver=letsencrypt - traefik.http.routers.dashboard.middlewares=auth - traefik.http.middlewares.auth.basicauth.users=admin:$$apr1$$hash api-users: image: company/users-api:latest labels: - traefik.enable=true - traefik.http.routers.users-api.rule=Host(`api.company.com`) && PathPrefix(`/v1/users`) - traefik.http.routers.users-api.entrypoints=websecure - traefik.http.routers.users-api.tls.certresolver=letsencrypt - traefik.http.services.users-api.loadbalancer.server.port=3000 Статична конфігурація (traefik.yml)
api: dashboard: true insecure: false entryPoints: web: address: ":80" http: redirections: entryPoint: to: websecure scheme: https websecure: address: ":443" providers: docker: exposedByDefault: false network: traefik file: directory: /etc/traefik/dynamic watch: true certificatesResolvers: letsencrypt: acme: email: [email protected] storage: /acme.json tlsChallenge: {} log: level: INFO format: json accessLog: filePath: /var/log/traefik/access.log format: json metrics: prometheus: addEntryPointsLabels: true addServicesLabels: true addRoutersLabels: true Порівняння вбудованих middleware Traefik:
| Middleware | Функція | Приклад використання |
|---|---|---|
| rateLimit | Обмеження запитів | Захист від DDoS |
| forwardAuth | Делегована аутентифікація | JWT-перевірка |
| circuitBreaker | Запобігання каскадним збоям | Вимкнення нездорових сервісів |
| retry | Повтор запиту при помилці | Підвищення відмовостійкості |
| compress | Стиснення відповідей | Прискорення передачі даних |
| headers | Зміна заголовків | CORS, HSTS, CSP |
Динамічна конфігурація з middleware
# /etc/traefik/dynamic/services.yml http: routers: legacy-api: rule: "Host(`api.company.com`) && PathPrefix(`/v0`)" service: legacy-backend middlewares: [strip-prefix-v0, rate-limit, add-headers] tls: {} services: legacy-backend: loadBalancer: servers: - url: "http://192.168.1.10:8080" - url: "http://192.168.1.11:8080" healthCheck: path: /health interval: 10s timeout: 3s middlewares: strip-prefix-v0: stripPrefix: prefixes: ["/v0"] rate-limit: rateLimit: average: 100 burst: 50 period: 1s add-headers: headers: customRequestHeaders: X-Internal-Source: traefik customResponseHeaders: X-Frame-Options: DENY X-Content-Type-Options: nosniff accessControlAllowMethods: [GET, POST, PUT, DELETE, OPTIONS] accessControlAllowHeaders: [Authorization, Content-Type] accessControlAllowOriginList: - https://app.company.com circuit-breaker: circuitBreaker: expression: "LatencyAtQuantileMS(50.0) > 100 || NetworkErrorRatio() > 0.30" JWT Forward Auth
Traefik делегує перевірку JWT зовнішньому сервісу:
# dynamic/middlewares.yml http: middlewares: jwt-auth: forwardAuth: address: "http://auth-service:4000/validate" trustForwardHeader: true authResponseHeaders: - X-User-ID - X-User-Role - X-Tenant-ID Сервіс повертає 200 — пропустити, 401 — відхилити. Response headers передаються upstream.
Як налаштувати канарковий деплой через Traefik?
Для канаркових деплоїв використовуйте зважений балансувальник:
http: services: api-weighted: weighted: services: - name: api-v1 weight: 90 - name: api-v2 weight: 10 api-v1: loadBalancer: servers: - url: "http://api-v1:3000" api-v2: loadBalancer: servers: - url: "http://api-v2:3000" Порівняння підходів: Nginx потребує перезавантаження після будь-якої зміни, Traefik оновлює правила за секунди. Це критично для CICD.
| Критерій | Nginx | Traefik |
|---|---|---|
| Виявлення сервісів | Ручне | Автоматичне (Docker/K8s) |
| SSL | Вручну + certbot | Вбудований Let's Encrypt |
| Middleware | Складна конфігурація | YAML/лейбли, понад 20 вбудованих |
| Canary-деплой | Потрібні скрипти | Зважений балансувальник |
Процес роботи
- Аналіз поточної архітектури та вимог.
- Розробка статичної та динамічної конфігурацій.
- Налаштування SSL, middleware, моніторингу.
- Тестування в staging-середовищі.
- Деплой у production з поступовим перемиканням трафіку.
Що входить в роботу
- Повна конфігурація Traefik (Docker Compose або Kubernetes).
- Налаштування Let's Encrypt з автоматичним оновленням.
- Підключення middleware: rate limit, JWT, CORS.
- Інтеграція з Prometheus та Grafana (дашборд ID 17347).
- Документація по маршрутах та доступах.
- 3 дні підтримки після деплою.
Строки
Базове налаштування під Docker — від 1 робочого дня. Повна інтеграція з Kubernetes, канарковими деплоями та JWT — до 3 днів. Точні строки уточнюються після аналізу проекту.
Типові помилки
- Забути закрити Dashboard у production — обов'язково використовуйте basic auth або VPN.
- Не налаштувати healthCheck — балансувальник буде відправляти трафік на мертві інстанси.
- Занадто lenient CORS — дозволяйте тільки довірені origin.
- Ігнорування circuit breaker — без нього збій в одному сервісі ламає всю систему.
Порівняйте самі: Traefik у 2-3 рази швидше налаштовується, ніж Nginx, і економить до 30% часу на експлуатацію. Отримайте консультацію з налаштування API Gateway — ми гарантуємо стабільну роботу. Переконайтеся в якості: наші інженери мають сертифікати та впровадили Traefik на 50+ проектах. Замовте налаштування Traefik вже сьогодні.
Офіційна документація Traefik: https://doc.traefik.io/traefik/