🐧 Module L16 – Le reverse-proxy Traefik

📖 Introduction

Traefik est un reverse-proxy et load balancer moderne, conçu pour les architectures conteneurisées mais également parfaitement adapté aux environnements bare metal. Sa configuration déclarative, son support natif de Let's Encrypt et sa facilité d'utilisation en font un outil de choix pour exposer des services internes de manière sécurisée. Ce module vous apprend à l'installer et à le configurer sur Debian 13 avec des fichiers dynamiques.

🔍 Qu'est-ce que Traefik ?

• Reverse-proxy : achemine les requêtes vers les services appropriés.
• Configuration déclarative : en YAML, avec fichiers statiques et dynamiques.
• SSL/TLS intégré : génère et renouvelle automatiquement les certificats avec Let's Encrypt.
• Interface web : tableau de bord pour surveiller les routes et les services.
• Middlewares : authentification, compression, en-têtes de sécurité, etc.
• Support HTTP/3 (QUIC) : pour des performances accrues.

📐 Architecture Traefik

🖥️ Partie 1 – Installation bare metal sur Debian 13

Cette section détaille l'installation de Traefik 3.6.11 en bare metal sur Debian 13.2, sans utiliser Docker. Toutes les étapes sont réalisées en ligne de commande.

1. Mise à jour du système

sudo apt update && sudo apt full-upgrade -y

2. Installation de curl

sudo apt install curl -y

3. Création de l'utilisateur système traefik

sudo useradd --system --home /etc/traefik --shell /bin/false traefik

4. Création de l'arborescence

sudo mkdir -p /etc/traefik /var/lib/traefik
sudo chown traefik:traefik /etc/traefik /var/lib/traefik

5. Téléchargement et installation du binaire

cd /tmp
wget https://github.com/traefik/traefik/releases/download/v3.6.11/traefik_v3.6.11_linux_amd64.tar.gz
tar -xvzf traefik_v3.6.11_linux_amd64.tar.gz -C /usr/local/bin traefik
chmod +x /usr/local/bin/traefik

6. Fichier de configuration statique (traefik.yml)

log:
  level: INFO

api:
  dashboard: true
  insecure: false

entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
          permanent: true

  websecure:
    address: ":443"
    http3: {}            # active HTTP/3 (QUIC) sur 443

providers:
  file:
    directory: "/etc/traefik/dynamic"
    watch: true

certificatesResolvers:
  le:
    acme:
      email: "VOTRE_MAIL@domaine.fr"   # ← À MODIFIER !
      storage: "/var/lib/traefik/acme.json"
      tlsChallenge: {}

sudo touch /var/lib/traefik/acme.json
sudo chown traefik:traefik /var/lib/traefik/acme.json
sudo chmod 600 /var/lib/traefik/acme.json

sudo apt install apache2-utils -y
htpasswd -nbB admin VOTRE_MOT_DE_PASSE

sudo mkdir -p /etc/traefik/dynamic

http:
  routers:
    dashboard:
      rule: "Host(`traefik.mon-domaine.fr`) && (PathPrefix(`/api`) || PathPrefix(`/dashboard`))"
      entryPoints: ["websecure"]
      service: api@internal
      tls:
        certResolver: le
      middlewares:
        - auth
        - SecureHeaders
        - Compression

    dashboard-root:
      rule: "Host(`traefik.mon-domaine.fr`) && Path(`/`)"
      entryPoints: ["websecure"]
      service: api@internal
      tls:
        certResolver: le
      middlewares:
        - dash-redirect
        - SecureHeaders

  middlewares:
    auth:
      basicAuth:
        realm: "Traefik"
        users:
          - "admin:COLLER_ICI_LE_HASH_GÉNÉRÉ"   # ← À MODIFIER

    dash-redirect:
      redirectRegex:
        regex: "^/$"
        replacement: "/dashboard/"
        permanent: true

tls:
  options:
    default:
      minVersion: "VersionTLS12"
      preferServerCipherSuites: true
      cipherSuites:
        - "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384"
        - "TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305"
        - "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
        - "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"
        - "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305"
      curvePreferences:
        - CurveP256
        - CurveP384
        - CurveP521

http:
  middlewares:
    Compression:
      compress:
        excludedContentTypes:
          - text/event-stream

    SecureHeaders:
      headers:
        forceSTSHeader: true
        stsSeconds: 63072000
        stsIncludeSubdomains: true
        stsPreload: true
        customFrameOptionsValue: "SAMEORIGIN"
        contentTypeNosniff: true
        referrerPolicy: "same-origin"
        permissionsPolicy: >-
          accelerometer=(), camera=(), geolocation=(),
          gyroscope=(), magnetometer=(), microphone=(),
          payment=(), usb=()
        contentSecurityPolicy: >-
          default-src 'self';
          script-src 'self' 'unsafe-inline' 'unsafe-eval';
          style-src 'self' 'unsafe-inline';
          img-src 'self' data: blob:;
          font-src 'self' data:;
          connect-src 'self' https: wss:;
          frame-ancestors 'self';
          base-uri 'self';
          form-action 'self';
          upgrade-insecure-requests

[Unit]
Description=Traefik Reverse Proxy
After=network-online.target
Wants=network-online.target

[Service]
User=traefik
Group=traefik
ExecStart=/usr/local/bin/traefik --configfile=/etc/traefik/traefik.yml
WorkingDirectory=/etc/traefik
Restart=on-failure
AmbientCapabilities=CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
NoNewPrivileges=true
LimitNOFILE=1048576
ProtectSystem=full
ProtectHome=true
PrivateTmp=true
ReadWritePaths=/var/lib/traefik /etc/traefik

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now traefik
sudo systemctl status traefik

http:
  routers:
    cockpit:
      rule: "Host(`cockpit.mon-domaine.fr`)"
      entryPoints: ["websecure"]
      service: cockpit-svc
      middlewares:
        - SecureHeaders
        - Compression
      tls:
        certResolver: le

  services:
    cockpit-svc:
      loadBalancer:
        servers:
          - url: "https://IP_DE_LA_MACHINE:9090"
        passHostHeader: true
        serversTransport: cockpit-transport

  serversTransports:
    cockpit-transport:
      insecureSkipVerify: true

http:
  routers:
    mon-app:
      rule: "Host(`app.mon-domaine.fr`)"
      entryPoints: ["websecure"]
      service: mon-app-svc
      middlewares:
        - SecureHeaders
        - Compression
      tls:
        certResolver: le

  services:
    mon-app-svc:
      loadBalancer:
        servers:
          - url: "http://192.168.1.100:8080"