Traefik TLS环境下主域名重定向至子域名出现SSL协议错误问题排查

嘿，我来帮你排查这个SSL错误的问题！结合你的配置和症状，主要有两个关键问题需要修复：

1. 重定向正则表达式写法有误，导致根路径请求匹配失败 #

你当前的redirectregex正则^https://(.*)example.com/(.*)存在两个明显问题：

• 它强制要求URL必须包含路径（尾部带/），当用户直接访问https://example.com（无路径）时，这个正则无法匹配，中间件不会生效。
• 贪婪匹配的(.*)会意外匹配到其他子域名（比如abc.example.com），虽然路由规则已经限制了Host，但正则本身不够严谨，容易引发意外。

你可以把正则改成这样，覆盖所有请求场景：

[http.middlewares.goToBlog.redirectregex]
regex = "^https://(www\\.)?example.com(/.*)?$"
replacement = "https://blog.example.com$2"
permanent = true

这个正则的逻辑：

• (www\\.)?匹配可选的www.前缀，转义\.确保只匹配域名中的点
• (/.*)?匹配可选的路径部分，包括空路径的情况
• $2对应路径部分的捕获组，空路径时会自动保留根路径/

2. SSL证书获取配置不够明确，导致握手失败 #

虽然你给gotoblog路由配置了certResolver = "lets-encrypt"，但Traefik有时不会自动从路由规则中正确提取域名申请证书，尤其是当路由使用noop@internal这类内部服务时。

你可以显式指定证书的主域名和SAN域名，确保Traefik为example.com和www.example.com申请证书：

[http.routers.gotoblog.tls]
certResolver = "lets-encrypt"
[[http.routers.gotoblog.tls.domains]]
main = "example.com"
sans = ["www.example.com"]

这样DNS挑战会明确针对这两个域名执行，避免出现证书缺失导致的SSL握手错误。

另外，虽然你提到blog.example.com正常运行，但还是要确认DNS挑战提供商的配置（比如API密钥、相关环境变量）是否正确——不过既然单域名能正常获取证书，双域名的申请逻辑是一致的，主要还是显式声明域名更稳妥。

修改完这两处配置后，重新加载Traefik，就能解决SSL错误，同时实现所有目标域名的永久重定向了！

内容的提问来源于stack exchange，提问作者Thurse