使用Traefik 3反向代理MariaDB失败，寻求解决方法

1. 为dbsecure入口点补全TLS配置 #

你的Traefik配置中，websecure入口点完整配置了TLS参数，但dbsecure入口点仅定义了监听地址，未启用TLS处理逻辑。而MariaDB的TCP路由指定了tls.certresolver，这会导致Traefik无法在该入口点正确处理加密连接。

修改Traefik的command部分，添加dbsecure入口点的TLS配置：

# 原有dbsecure入口点配置
- --entrypoints.dbsecure.address=:1234
# 新增以下TLS配置项
- --entrypoints.dbsecure.http.tls=true
- --entrypoints.dbsecure.http.tls.certResolver=letsencrypt
- --entrypoints.dbsecure.http.tls.domains[0].main=custom.domain
- --entrypoints.dbsecure.http.tls.domains[0].sans=*.custom.domain

2. 确保MariaDB客户端发送SNI信息 #

Traefik的TCP路由依赖HostSNI()规则匹配请求，但部分MySQL/MariaDB客户端默认不发送SNI字段，导致路由无法匹配。

连接时需强制客户端启用SNI：

• 使用官方mysql客户端：添加--ssl-mode=REQUIRED --ssl参数，若需验证证书可额外指定--ssl-ca
• 使用GUI工具（如DBeaver）：在连接设置中开启SSL，并勾选"发送SNI"选项

3. 移除MariaDB服务的主机端口映射 #

在Docker Swarm模式下，Traefik通过traefik overlay网络直接访问容器端口，无需暴露主机端口3306:3306，该映射可能引发端口冲突或不必要的外部暴露，建议删除：

# 移除这部分配置
ports:
  - 3306:3306

4. 提高Traefik日志级别排查路由匹配问题 #

当前Traefik日志级别为ERROR，无法查看路由匹配的细节。临时修改日志级别为DEBUG，以便定位问题：

- --log.level=DEBUG

更新配置后，查看Traefik日志：

docker service logs traefik_traefik

重点关注包含mariadb路由的日志，确认是否有请求到达但未匹配路由的情况。

5. 验证Swarm服务标签的正确性 #

确认MariaDB服务的Traefik标签无语法错误：

• 布尔值标签（如traefik.enable）的双引号可保留，但需确保格式统一
• 核对tcp.services.mariadb.loadbalancer.server.port确实指向MariaDB容器内的3306端口（当前配置正确，可再次验证）

完成修改后，重新部署服务：

docker stack deploy -c traefik-stack.yml traefik
docker stack deploy -c mariadb-stack.yml mariadb

内容的提问来源于stack exchange，提问作者leadvic