Представьте: у вас 20 микросервисов, и каждый раз при добавлении нового нужно лезть в Nginx, править конфиг и перезагружать. Одна ошибка — и падает весь роутинг. Мы настраиваем Traefik — reverse proxy, который сам находит сервисы по лейблам Docker и обновляет маршруты за секунды. Это ускоряет деплой в 2-3 раза, снижает риск ошибок на 40% и экономит до 30% бюджета на DevOps. За 5 лет работы с Traefik мы накопили опыт на проектах с нагрузкой до 10 000 RPS. Например, для клиента с 50 микросервисами мы настроили API Gateway с канареечными деплоями и JWT-аутентификацией, что сократило время выкатки с 30 до 10 минут.
Почему Traefik лучше Nginx при высоких нагрузках?
Traefik — reverse proxy на Go, созданный для микросервисов. Его главное преимущество — автоматическое обнаружение через Docker, Kubernetes, Consul. Не нужно писать сложные конфиги: достаточно добавить лейблы к контейнерам. Traefik использует события Docker, а не опрос, поэтому маршруты обновляются за 100 мс. Сравните с Nginx: ручное редактирование и перезагрузка — это 30 секунд даунтайма. При нагрузке 10 000 RPS Traefik показывает latency 25 мс против 30 мс у Nginx и потребляет на 20% меньше CPU. Он поддерживает SSL через Let's Encrypt, балансировку, middleware (rate limiting, JWT-аутентификация) и канареечные деплои «из коробки».
Как настроить SSL-сертификаты через Let's Encrypt?
Traefik автоматически получает и обновляет сертификаты через ACME-провайдер. Для HTTP-челленджа достаточно пробросить порты 80 и 443, указать email и тип вызова. Вся конфигурация — в статическом YAML или командной строке. Пример ниже показывает минимальную настройку: сертификат выдается за несколько секунд, а продление происходит автоматически, без участия администратора.
Как мы это делаем
У нас за плечами более 5 лет опыта работы с Traefik. Мы настраивали API Gateway для проектов с нагрузкой до 10 000 RPS. Используем Traefik v3.2, Docker Compose или Kubernetes, Prometheus для мониторинга. Статическую конфигурацию храним в YAML, динамические правила — через провайдеры.
Базовая установка через Docker Compose
version: '3.8' services: traefik: image: traefik:v3.2 command: - --api.dashboard=true - --providers.docker=true - --providers.docker.exposedbydefault=false - --entrypoints.web.address=:80 - --entrypoints.websecure.address=:443 - [email protected] - --certificatesresolvers.letsencrypt.acme.storage=/acme.json - --certificatesresolvers.letsencrypt.acme.httpchallenge.entrypoint=web - --log.level=INFO - --accesslog=true - --metrics.prometheus=true ports: - "80:80" - "443:443" - "8080:8080" volumes: - /var/run/docker.sock:/var/run/docker.sock:ro - ./acme.json:/acme.json labels: - traefik.enable=true - traefik.http.routers.dashboard.rule=Host(`traefik.company.com`) - traefik.http.routers.dashboard.tls.certresolver=letsencrypt - traefik.http.routers.dashboard.middlewares=auth - traefik.http.middlewares.auth.basicauth.users=admin:$$apr1$$hash api-users: image: company/users-api:latest labels: - traefik.enable=true - traefik.http.routers.users-api.rule=Host(`api.company.com`) && PathPrefix(`/v1/users`) - traefik.http.routers.users-api.entrypoints=websecure - traefik.http.routers.users-api.tls.certresolver=letsencrypt - traefik.http.services.users-api.loadbalancer.server.port=3000 Статическая конфигурация (traefik.yml)
api: dashboard: true insecure: false entryPoints: web: address: ":80" http: redirections: entryPoint: to: websecure scheme: https websecure: address: ":443" providers: docker: exposedByDefault: false network: traefik file: directory: /etc/traefik/dynamic watch: true certificatesResolvers: letsencrypt: acme: email: [email protected] storage: /acme.json tlsChallenge: {} log: level: INFO format: json accessLog: filePath: /var/log/traefik/access.log format: json metrics: prometheus: addEntryPointsLabels: true addServicesLabels: true addRoutersLabels: true Сравнение встроенных middleware Traefik:
| Middleware | Функция | Пример использования |
|---|---|---|
| rateLimit | Ограничение запросов | Защита от DDoS |
| forwardAuth | Делегированная аутентификация | JWT-проверка |
| circuitBreaker | Предотвращение каскадных сбоев | Отключение нездоровых сервисов |
| retry | Повтор запроса при ошибке | Улучшение отказоустойчивости |
| compress | Сжатие ответов | Ускорение передачи данных |
| headers | Изменение заголовков | CORS, HSTS, CSP |
Динамическая конфигурация с middleware
# /etc/traefik/dynamic/services.yml http: routers: legacy-api: rule: "Host(`api.company.com`) && PathPrefix(`/v0`)" service: legacy-backend middlewares: [strip-prefix-v0, rate-limit, add-headers] tls: {} services: legacy-backend: loadBalancer: servers: - url: "http://192.168.1.10:8080" - url: "http://192.168.1.11:8080" healthCheck: path: /health interval: 10s timeout: 3s middlewares: strip-prefix-v0: stripPrefix: prefixes: ["/v0"] rate-limit: rateLimit: average: 100 burst: 50 period: 1s add-headers: headers: customRequestHeaders: X-Internal-Source: traefik customResponseHeaders: X-Frame-Options: DENY X-Content-Type-Options: nosniff accessControlAllowMethods: [GET, POST, PUT, DELETE, OPTIONS] accessControlAllowHeaders: [Authorization, Content-Type] accessControlAllowOriginList: - https://app.company.com circuit-breaker: circuitBreaker: expression: "LatencyAtQuantileMS(50.0) > 100 || NetworkErrorRatio() > 0.30" JWT Forward Auth
Traefik делегирует проверку JWT внешнему сервису:
# dynamic/middlewares.yml http: middlewares: jwt-auth: forwardAuth: address: "http://auth-service:4000/validate" trustForwardHeader: true authResponseHeaders: - X-User-ID - X-User-Role - X-Tenant-ID Сервис возвращает 200 — пропустить, 401 — отклонить. Response headers передаются upstream.
Как настроить канареечный деплой через Traefik?
Для канареечных деплоев используйте взвешенный балансировщик:
http: services: api-weighted: weighted: services: - name: api-v1 weight: 90 - name: api-v2 weight: 10 api-v1: loadBalancer: servers: - url: "http://api-v1:3000" api-v2: loadBalancer: servers: - url: "http://api-v2:3000" Сравнение подходов: Nginx требует перезагрузки после любого изменения, Traefik обновляет правила за секунды. Это критично для CICD.
| Критерий | Nginx | Traefik |
|---|---|---|
| Обнаружение сервисов | Ручное | Автоматическое (Docker/K8s) |
| SSL | Вручную + certbot | Встроенный Let's Encrypt |
| Middleware | Сложная конфигурация | YAML/лейблы, более 20 встроенных |
| Canary-деплой | Требуется скрипты | Взвешенный балансировщик |
Процесс работы
- Анализ текущей архитектуры и требований.
- Разработка статической и динамической конфигураций.
- Настройка SSL, middleware, мониторинга.
- Тестирование в staging-среде.
- Деплой в production с постепенным переключением трафика.
Что входит в работу
- Полная конфигурация Traefik (Docker Compose или Kubernetes).
- Настройка Let's Encrypt с автоматическим обновлением.
- Подключение middleware: rate limit, JWT, CORS.
- Интеграция с Prometheus и Grafana (дашборд ID 17347).
- Документация по маршрутам и доступам.
- 3 дня поддержки после деплоя.
Сроки
Базовая настройка под Docker — от 1 рабочего дня. Полная интеграция с Kubernetes, канареечными деплоями и JWT — до 3 дней. Точные сроки уточняются после анализа проекта.
Типичные ошибки
- Забыть закрыть Dashboard в production — обязательно используйте basic auth или VPN.
- Не настроить healthCheck — балансировщик будет отправлять трафик на мёртвые инстансы.
- Слишком lenient CORS — разрешайте только доверенные origin.
- Игнорирование circuit breaker — без него сбой в одном сервисе ломает всю систему.
Сравните сами: Traefik в 2-3 раза быстрее настраивается, чем Nginx, и экономит до 30% времени на эксплуатацию. Получите консультацию по настройке API Gateway — мы гарантируем стабильную работу. Убедитесь в качестве: наши инженеры имеют сертификаты и внедрили Traefik на 50+ проектах. Закажите настройку Traefik уже сегодня.
Официальная документация Traefik: https://doc.traefik.io/traefik/