Traefik VPS: Reverse Proxy Tự Động HTTPS Tại Iceland

So với Nginx hay HAProxy truyền thống, Traefik nổi bật ở khả năng tự động cấu hình. Khi bạn deploy container Docker mới với label phù hợp, Traefik tự động phát hiện, định tuyến và cấp chứng chỉ HTTPS - không cần edit file cấu hình hay reload service.

Trên VPS offshore Iceland của AnubizHost, Traefik làm nhiệm vụ gateway duy nhất cho tất cả ứng dụng container của bạn. Quyền root đầy đủ cho phép bind cổng 80 và 443, cấu hình kernel parameter tối ưu cho high connection count và tích hợp với fail2ban để chống brute force ở tầng OS.

VPS Pro 8GB RAM của AnubizHost với SSD NVMe đủ cho Traefik phục vụ 10.000 request mỗi giây với độ trễ dưới 5ms. Thanh toán Bitcoin hoặc Monero giữ bí mật về domain và service architecture của bạn - quan trọng cho các dự án stealth hoặc nhạy cảm về cạnh tranh. Băng thông không giới hạn của gói VPS cho phép Traefik xử lý traffic spike mà không lo overage fee như các cloud lớn.

Tạo file docker-compose.yml cho Traefik:

version: "3.8"
services:
  traefik:
    image: traefik:v3.0
    container_name: traefik
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - ./traefik.yml:/etc/traefik/traefik.yml:ro
      - ./acme.json:/acme.json
    networks:
      - web

networks:
  web:
    external: true

Cấu hình traefik.yml với entry point HTTP, HTTPS và Let's Encrypt resolver:

entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
  websecure:
    address: ":443"

certificatesResolvers:
  letsencrypt:
    acme:
      email: [email protected]
      storage: acme.json
      httpChallenge:
        entryPoint: web

providers:
  docker:
    exposedByDefault: false

Tạo external network: docker network create web, sau đó docker compose up -d. Đặt quyền 600 cho acme.json. Dashboard Traefik nên expose qua basic auth và chỉ truy cập qua SSH tunnel.

Traefik middleware là layer xử lý request trước khi chuyển tới backend. Cấu hình ba middleware cơ bản cho mọi service: security headers, rate limit và IP allowlist nếu cần. Thêm vào label của container backend:

labels:
  - "traefik.enable=true"
  - "traefik.http.routers.app.rule=Host(`app.example.com`)"
  - "traefik.http.routers.app.tls.certresolver=letsencrypt"
  - "traefik.http.routers.app.middlewares=secure-headers,rate-limit"
  - "traefik.http.middlewares.secure-headers.headers.stsSeconds=31536000"
  - "traefik.http.middlewares.secure-headers.headers.contentTypeNosniff=true"
  - "traefik.http.middlewares.rate-limit.ratelimit.average=100"
  - "traefik.http.middlewares.rate-limit.ratelimit.burst=200"

Middleware rate-limit giới hạn 100 request mỗi giây trung bình, cho phép burst 200 - đủ chặn DDoS lớp ứng dụng mà không ảnh hưởng người dùng thật.

Circuit breaker phát hiện backend lỗi và tạm dừng forward request, tránh cascade failure. Cấu hình circuitBreaker.expression với điều kiện như ResponseCodeRatio(500, 600, 0, 600) > 0.30 sẽ ngắt khi 30% response là 5xx trong 60 giây gần nhất. Kết hợp với access log JSON gửi qua Promtail tới Loki self-hosted giúp monitoring và alert toàn diện.