主页 / server / 问题 / 1168185
Accepted
mschau
Asked: 2024-11-26 21:18:09 +0800 CST

Traefik - 过滤 URL 的一部分

  • 772

我有以下场景：一台 Docker 主机上有多个 CMS 项目和一个正在运行的 Traefik。我想从公共 IP 地址中过滤掉后端 URL，因为它只能从私有 IP 范围访问。

公开可用： https：//www.project.com/xyz https：//www.project.com/abc

仅限于内部 IP：https: //www.project.com/backend

我是否可以通过 IP 白名单和例如 2 个路由器 (1 个用于公共访问，1 个用于后端访问) 来实现这一点？

我尝试过类似的事情：

  # Backend Router (Restricted Access)
  - "traefik.http.routers.project-backend.rule=Host(`${DOMAINNAME}`) && PathPrefix(`/backend`)"
  - "traefik.http.routers.project-backend.entrypoints=https"
  - "traefik.http.routers.project-backend.tls=true"
  - "traefik.http.routers.project-backend.middlewares=backend-ipwhitelist"
  - "traefik.http.routers.project-backend.priority=100"

但过滤器不起作用 - 仍然可以访问后端。

有什么建议吗？

docker

1 个回答

  1. Best Answer

    如果不查看其余配置，很难确定问题所在。我尝试使用以下内容重现您的情况compose.yaml：

    services:

  traefik:
    image: traefik:latest
    container_name: traefik
    ports:
      - "8080:80"
      - "8443:443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    command:
    - --providers.docker
    - --providers.docker.exposedbydefault=false
    - --accesslog=true
    - --log.level=INFO

  project:
    image: traefik/whoami
    hostname: www.project.com
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.project.rule=Host(`www.project.com`)"

      # create a router for the /backend path
      - "traefik.http.routers.project-backend.rule=Host(`www.project.com`) && PathPrefix(`/backend`)"

      # create the allow list middleware
      - "traefik.http.middlewares.backend-ipallowlist.ipAllowList.sourceRange=192.168.1.0/24"

      # attach the backend-ipallowlist middleware to the router for /backend
      - "traefik.http.routers.project-backend.middlewares=backend-ipallowlist"

    这会按预期禁止访问该/backend路径。来自任何地方的请求/都会成功：

    $ curl -i -H Host:www.project.com http://localhost:8080/
HTTP/1.1 200 OK
Content-Length: 361
Content-Type: text/plain; charset=utf-8
Date: Tue, 26 Nov 2024 18:24:03 GMT

Hostname: www.project.com
.
.
.
X-Real-Ip: 172.18.0.1

    当请求/backend被拒绝时：

    $ curl -i -H Host:www.project.com http://localhost:8080/backend/
HTTP/1.1 403 Forbidden
Date: Tue, 26 Nov 2024 18:23:00 GMT
Content-Length: 9

Foribidden

    如果我从网络上的系统发出相同的请求192.168.1.0/24，它会成功：

    $ curl -i -H Host:www.project.com http://192.168.100:8080/backend/
HTTP/1.1 200 OK
Content-Length: 375
Content-Type: text/plain; charset=utf-8
Date: Tue, 26 Nov 2024 18:40:59 GMT

Hostname: www.project.com
IP: 127.0.0.1
IP: ::1
IP: 172.18.0.2
.
.
.
X-Real-Ip: 192.168.1.20
    • 0

相关问题