Skifter certifikatet på den valgte Traefik-service med TLS-kontrol, backup og rollback.
Sådan forløber det
- Service-agenten på serveren henter opgaven fra appliancen over udgående HTTPS, port 443.
- Discovery finder den kørende v2/v3-service, YAML/TOML/CLI-konfiguration, labels og file-provider. Verificeret TLS og fingerprint knytter hvert router/SNI-mål til det certifikat, der faktisk serveres.
- Agenten kontrollerer certifikat, nøgle, kæde og mål, gemmer en beskyttet backup og ændrer kun den valgte binding med tls.certificates certFile/keyFile. default@file vælger udtrykkeligt det fælles defaultCertificate.
- File-watch genindlæser normalt uden genstart. Verify kontrollerer det nye serverede fingerprint og øvrige verificerede mål. Ved aktiveringsfejl forsøger agenten automatisk rollback og verificerer det tidligere certifikat. Hvis det fejler: Rollback verificeres mod tidligere fingerprint. Senere ændringer bevares, og en konflikt kræver afklaring af den konkrete filtilstand.
Tekniske detaljer
- Forbindelse
- Pakken kører gennem service-agenten på serveren. Agenten forbinder over udgående HTTPS til appliancen, port 443 som standard. I åbner ingen port ind til serveren.
- Tjenestens porte
- 443
- I skal bruge
- Service-agenten installeret på serveren. Kør på Linux via service-agenten eller SSH med adgang til Traefiks proces, konfiguration og certifikatfiler. Bash, Python 3.11 eller nyere med PyYAML, cryptography og tomli-w samt OpenSSL kræves. Docker kræver adgang til Docker CLI og de faktiske host-mounts; overtagelse af Compose-labels kræver Compose-plugin. Kontoen skal kunne skrive de valgte filer og styre den valgte service ved godkendt genstart. Eksisterende TLS skal kunne verificeres med systemets tillid eller TLS_CA_BUNDLE.
- Platform
- Traefik v2/v3 på Linux og Docker
- Handlinger
- Discovery, Installation, Kontrol, Rollback
- Pakker
-
traefik1.0.0 - Bemærk
-
- Traefik 1.0.0 er en kandidat til signering. Pakken er endnu ikke publiceret i agentkataloget.
- Vælg TRAEFIK_CONTAINER eller TRAEFIK_UNIT/TRAEFIK_PID og TRAEFIK_ROUTER med @file/@docker. LOCAL_TLS_HOST, LOCAL_TLS_PORT og LOCAL_TLS_SNI kan præcisere målet. TLS_CA_BUNDLE bruger en lokal CA-fil; ellers bruges systemets tillid. CA, SAN og gyldighed verificeres altid.
- providers.file filename/directory og de faktiske container-/host-stier bestemmer aktivering. En enkelt fil som bind-mount skrives på samme inode; en gammel mount efter host-rename skal rettes. Med watch=false bruger v3 SIGHUP; v2 kræver ALLOW_RESTART=true og genstart af den valgte service.
- Valg af Traefik-målet overtager dets ACME-styring. Den nødvendige genstart kræver ALLOW_RESTART=true. Agenten frakobler den valgte routers resolver i file-konfiguration eller verificerede Compose-labels og stopper Traefik, før kun valgte cacheposter pensioneres. certificatesResolvers, acme.json, konti og andre certifikater bevares.
- TLS-certifikater vælges før HTTP-routing. Overlappende SAN/wildcards og default-store kan ramme flere routers; agenten kontrollerer dette omfang samt tls.domains og arvede entrypoint-domæner før ændring. Uklart ejerskab eller mount stopper uden write og med en delbar log uden nøgler eller passwords.
- Backup og journal ligger beskyttet uden for watched konfiguration. Rollback gendanner kun agentens egen uændrede transaktion og overskriver ikke senere administratorændringer. Bevar BACKUP_PATH til særskilt rollback. Kubernetes TLSStore/IngressRoute vises i discovery og håndteres af kubernetes-api.
Krav til certifikatet
PEM med servercertifikatet først og derefter intermediates i rækkefølge. Separat, matchende, ukrypteret privat nøgle i PKCS#8, PKCS#1 RSA eller SEC1 EC. Agenten installerer ikke DER, PFX eller JKS.
RSA 2048/3072/4096 bit eller ECDSA P-256/P-384. SAN skal dække SNI og bevare de navne, det valgte certifikat betjener. Wildcards dækker ét helt venstre label; IP-mål kræver IP SAN. CN, bestemt subject og friendly name kræves ikke.
Certifikatet skal være gyldigt og betroet til TLS-serverbrug. KU/EKU er valgfrie; når de findes, skal de tillade serverbrug, herunder digitalSignature for moderne handshakes og serverAuth i EKU. Ingen fast SAN- eller levetidsgrænse angives. Traefiks procesbruger skal kunne læse filerne; agenten bevarer nødvendige rettigheder og beskytter nøglen.