Windows Server重启后Traefik代理导致无法访问外部网站求助

1. 确认Traefik动态证书配置是否加载 #

Traefik默认证书生效，大概率是自定义证书配置未被正确加载：

• 查看Traefik容器日志，检查配置加载情况：

  docker logs reverse-proxy
  

  搜索是否存在类似Loaded configuration file etc/traefik/dynamic/certs-traefik.yml的日志。如果没有，检查certs-traefik.yml是否放在主机的.\zzz-etc\traefik目录下——Traefik只会扫描这个挂载目录下的动态配置文件。

2. 检查证书文件的可用性 #

Windows容器的文件权限或路径错误可能导致Traefik无法读取证书：

• 确认主机.\zzz-etc\certs目录下存在cert.crt和cert_decrypted.key，且容器内对应路径c:\etc\certs下能看到这两个文件（可通过docker exec reverse-proxy dir c:\etc\certs验证）。
• 检查主机上zzz-etc\certs目录的权限：右键目录→属性→安全，确保容器运行账户（或Everyone）拥有读取权限。

3. 解决服务器本地流量被Traefik拦截的问题 #

Traefik绑定了主机所有网卡的80/443端口，可能导致服务器本地浏览器访问外部网站时，请求被路由到Traefik容器（无对应外部域名的路由，因此返回默认证书）：

• 验证问题：在服务器上执行指定网卡的curl命令，若能正常访问则说明本地loopback流量被拦截：

  curl --interface <服务器外网网卡IP> https://www.baidu.com
  

• 修复方法：修改Traefik的entrypoint配置，指定仅监听服务器外网网卡的80/443端口，避免占用本地loopback请求：
  在docker-compose的command段修改为：

  - --entrypoints.web.address=<服务器外网IP>:80
  - --entrypoints.websecure.address=<服务器外网IP>:443
  

4. 排查端口占用与路由异常 #

• 检查80/443端口是否被其他程序占用：

  netstat -ano | findstr ":80"
  netstat -ano | findstr ":443"
  

  确保只有Traefik容器的进程ID占用这两个端口。
• 检查本地路由表：执行route print，确认默认路由指向正确的网关，未被Docker网络篡改。

5. 重置Traefik容器 #

清理容器缓存后重新启动，排除临时配置异常：

docker-compose down reverse-proxy
docker system prune -f
docker-compose up -d reverse-proxy

再次查看容器日志，确认证书配置已成功加载。

内容的提问来源于stack exchange，提问作者ceej pie