Byter certifikatet på vald Traefik-tjänst med TLS-kontroll, backup och rollback.
Så går det till
- Serviceagenten på servern hämtar uppgiften från appliancen över utgående HTTPS, port 443.
- Discovery hittar den körande v2/v3-tjänsten, YAML/TOML/CLI-konfiguration, labels och file-provider. Verifierad TLS och fingerprint kopplar varje router/SNI-mål till certifikatet som faktiskt serveras.
- Agenten kontrollerar certifikat, nyckel, kedja och mål, sparar en skyddad backup och ändrar bara vald bindning med tls.certificates certFile/keyFile. default@file väljer uttryckligen gemensamt defaultCertificate.
- File-watch läser normalt om utan omstart. Verify kontrollerar nytt serverat fingerprint och övriga verifierade mål. Vid aktiveringsfel försöker agenten automatisk rollback och verifierar tidigare certifikat. Om det misslyckas: Rollback verifieras mot tidigare fingerprint. Senare ändringar behålls och en konflikt kräver klarläggande av konkret filtillstånd.
Tekniska detaljer
- Anslutning
- Paketet körs genom serviceagenten på servern. Agenten ansluter över utgående HTTPS till appliancen, port 443 som standard. Ni öppnar ingen port in till servern.
- Tjänstens portar
- 443
- Ni behöver
- Serviceagenten installerad på servern. Kör på Linux via serviceagenten eller SSH med åtkomst till Traefiks process, konfiguration och certifikatfiler. Bash, Python 3.11 eller senare med PyYAML, cryptography och tomli-w samt OpenSSL krävs. Docker kräver åtkomst till Docker CLI och faktiska host-mounts; övertagande av Compose-labels kräver Compose-plugin. Kontot ska kunna skriva valda filer och styra vald tjänst vid godkänd omstart. Befintlig TLS ska kunna verifieras med systemets tillit eller TLS_CA_BUNDLE.
- Plattform
- Traefik v2/v3 på Linux och Docker
- Åtgärder
- Discovery, Installation, Kontroll, Rollback
- Paket
-
traefik1.0.0 - Observera
-
- Traefik 1.0.0 är en kandidat för signering. Paketet är ännu inte publicerat i agentkatalogen.
- Välj TRAEFIK_CONTAINER eller TRAEFIK_UNIT/TRAEFIK_PID och TRAEFIK_ROUTER med @file/@docker. LOCAL_TLS_HOST, LOCAL_TLS_PORT och LOCAL_TLS_SNI kan precisera målet. TLS_CA_BUNDLE använder en lokal CA-fil; annars används systemets tillit. CA, SAN och giltighet verifieras alltid.
- providers.file filename/directory och faktiska container-/host-sökvägar bestämmer aktivering. En enskild fil som bind-mount skrivs på samma inode; en gammal mount efter host-rename behöver rättas. Med watch=false använder v3 SIGHUP; v2 kräver ALLOW_RESTART=true och omstart av vald tjänst.
- Val av Traefik-målet tar över dess ACME-hantering. Den nödvändiga omstarten kräver ALLOW_RESTART=true. Agenten kopplar bort vald routers resolver i file-konfiguration eller verifierade Compose-labels och stoppar Traefik innan bara valda cacheposter tas ur bruk. certificatesResolvers, acme.json, konton och andra certifikat behålls.
- TLS-certifikat väljs före HTTP-routing. Överlappande SAN/wildcards och default-store kan påverka flera routers; agenten kontrollerar detta omfång samt tls.domains och ärvda entrypoint-domäner före ändring. Oklart konkret ägarskap eller mount stoppar utan write och med en delbar log utan nycklar eller lösenord.
- Backup och journal skyddas utanför watched konfiguration. Rollback återställer bara agentens egen oförändrade transaktion och skriver inte över senare administratörsändringar. Behåll BACKUP_PATH för separat rollback. Kubernetes TLSStore/IngressRoute visas i discovery och hanteras av kubernetes-api.
Krav på certifikatet
PEM med servercertifikatet först och därefter intermediates i ordning. Separat, matchande, okrypterad privat nyckel i PKCS#8, PKCS#1 RSA eller SEC1 EC. Agenten installerar inte DER, PFX eller JKS.
RSA 2048/3072/4096 bitar eller ECDSA P-256/P-384. SAN ska täcka SNI och bevara namnen som valt certifikat betjänar. Wildcards täcker en hel vänster etikett; IP-mål kräver IP SAN. CN, visst subject och friendly name krävs inte.
Certifikatet ska vara giltigt och betrott för TLS-serverbruk. KU/EKU är valfria; när de finns ska de tillåta serverbruk, inklusive digitalSignature för moderna handshakes och serverAuth i EKU. Ingen fast SAN- eller livslängdsgräns anges. Traefiks processanvändare ska kunna läsa filerna; agenten behåller nödvändiga rättigheter och skyddar nyckeln.