Traefik路由配置问题：Mender服务无法映射至443端口

机器仅开放443端口，通过Traefik作为端口转发系统部署了多个服务，其中Mesh实例运行正常（WebSocket也能在Traefik后正常工作）。但部署自带Traefik的Mender服务时，虽服务本身可正常运行（能创建用户、登录），却无法通过443端口访问，仅能通过指定的8084端口访问，同时Let's Encrypt SSL验证完全失效。

核心问题分析 #

1. Mender自带的Traefik与全局Traefik形成双层代理，端口配置冲突，导致全局Traefik无法正确路由流量到Mender服务
2. Mender的Traefik独立配置了证书解析器，与全局Traefik的Let's Encrypt配置不兼容，引发SSL验证失效
3. Mender服务的路由标签配置错误，未正确关联全局Traefik的入口点与证书解析器

解决方案步骤 #

1. 修改Mender的docker-compose.yml配置 #

目标是让全局Traefik统一处理SSL证书和流量转发，弱化Mender自带Traefik的外部代理功能，仅保留内部服务路由。

调整mender-api-gateway服务配置：

移除端口映射

删除直接暴露的端口，所有流量由全局Traefik转发：

# 原端口配置，直接删除
# ports:
#   - "8082:8082"
#   - "8080:8080"
#   - "8084:8084"

简化command参数

移除证书相关和外部入口点配置，只保留Mender内部服务所需的设置：

command:
    - --accesslog=true
    - --entrypoints.http.address=:8082
    - --entrypoints.http.http.redirections.entryPoint.scheme=https
    - --entrypoints.http.http.redirections.entryPoint.to=https
    - --entrypoints.https.address=:8084
    - --entryPoints.https.transport.respondingTimeouts.idleTimeout=7200
    - --entryPoints.https.transport.respondingTimeouts.readTimeout=7200
    - --entryPoints.https.transport.respondingTimeouts.writeTimeout=7200
    - --providers.file.directory=/etc/traefik/config
    - --api.insecure=true
    - --api.dashboard=true
    - --log.level=DEBUG
# 以下证书和全局重定向配置全部删除
# - "--certificatesresolvers.letsencrypt.acme.email=xxx@xxx.org"
# - "--certificatesresolvers.letsencrypt.acme.storage=/etc/traefik/acme/acme.json"
# - "--certificatesresolvers.letsencrypt.acme.httpchallenge=true"
# - "--certificatesresolvers.letsencrypt.acme.httpchallenge.entrypoint=web"
# - "--entrypoints.web.http.redirections.entryPoint.to=websecure"
# - "--entrypoints.web.http.redirections.entryPoint.scheme=https"

修正Traefik路由标签

让全局Traefik正确识别并路由Mender服务：

labels:
    - "traefik.enable=true"
    # HTTP路由，自动跳转到HTTPS
    - "traefik.http.routers.mender-web.entrypoints=web"
    - "traefik.http.routers.mender-web.rule=Host(`mender.xxx.xxx.xxx`)"
    - "traefik.http.routers.mender-web.middlewares=redirect-to-https@file"
    # HTTPS路由，使用全局证书解析器
    - "traefik.http.routers.mender-secure.entrypoints=websecure"
    - "traefik.http.routers.mender-secure.rule=Host(`mender.xxx.xxx.xxx`)"
    - "traefik.http.routers.mender-secure.tls.certresolver=mytlschallenge"
    # 指向Mender内部的HTTPS端口
    - "traefik.http.services.mender-service.loadbalancer.server.port=8084"
    - "traefik.docker.network=web"

移除不必要的挂载

Mender的Traefik不需要监听全局Docker事件，删除以下挂载：

# 原挂载配置，直接删除
# - /var/run/docker.sock:/var/run/docker.sock:ro

2. 完善全局Traefik的dynamic.yml配置 #

确保文件中包含HTTPS重定向中间件（如果没有则添加）：

http:
  middlewares:
    redirect-to-https:
      redirectScheme:
        scheme: https
        permanent: true

3. 重启服务生效 #

• 重启全局Traefik：

docker-compose -f traefik-docker-compose.yml down && docker-compose -f traefik-docker-compose.yml up -d

• 重启Mender服务：

docker-compose -f mender-docker-compose.yml down && docker-compose -f mender-docker-compose.yml up -d

验证要点 #

1. 访问https://mender.xxx.xxx.xxx，确认服务可正常访问
2. 检查全局Traefik的./letsencrypt/acme.json文件，确认已生成对应域名的SSL证书
3. 验证Mender的WebSocket功能（若有需求）是否正常工作

内容的提问来源于stack exchange，提问作者Christopher McFee