Docker与Traefik网络配置疑问：部分场景下是否必须发布端口？

我来帮你拆解下这些困惑，其实核心是没搞透Traefik TCP路由的工作逻辑，以及XMPP不同TLS模式下的代理适配方式，咱们一步步来解决：

一、先搞懂端口映射的误区 #

你之前的核心错误是把后端XMPP服务的端口直接发布到主机，而不是让Traefik作为唯一的入口来监听这些端口。正确的逻辑是：

• Traefik容器需要开启并发布对应的TCP入口点（比如5222、5269），所有外部流量先打到Traefik的这些端口
• 后端XMPP服务（Prosody/Ejabberd）不需要发布任何端口到主机，只要它们和Traefik在同一个Docker自定义网络里，Traefik就能直接访问容器内部的5222/5269端口

你之前移除Prosody端口映射后无法访问，是因为Traefik根本没监听主机的5222/5269端口——之前的流量是直接到Prosody发布的主机端口，不是走Traefik。后来你停了Traefik还能访问，也是因为Prosody的端口还在主机上监听着，和Traefik没关系。

二、验证流量是否经过Traefik的实用方法 #

要确认流量是否走Traefik，有几个简单的办法：

1. 查看Traefik debug日志：启动Traefik时加上--log.level=DEBUG参数，然后发起XMPP连接，看日志里有没有tcp相关的路由匹配记录（比如matched rule HostSNI(xxx)）
2. 用tcpdump抓包：
   • 在Traefik容器里执行：docker exec -it <traefik-container-name> tcpdump port 5222，如果能抓到连接包，说明流量经过Traefik
   • 或者在主机上抓docker网络的包：tcpdump -i docker0 port 5222，看是否有Traefik和XMPP容器之间的流量
3. 临时破坏路由规则：比如把Traefik路由的后端端口改成一个不存在的端口（比如5223），如果客户端连接失败，说明流量确实走Traefik了

三、解决多XMPP服务的端口冲突问题 #

根据XMPP的TLS模式，分两种场景配置：

场景1：严格TLS（无STARTTLS，直接TLS连接） #

这种场景下，TLS握手时会传递SNI（服务器名称指示），Traefik可以通过SNI区分不同的XMPP服务，实现同一端口托管多个服务：

1. 先配置Traefik的TCP入口点：在traefik.yml里添加：

entryPoints:
  xmpp-c2c:
    address: ":5222"
  xmpp-s2s:
    address: ":5269"

2. Traefik的docker-compose要发布这些端口：

ports:
  - "5222:5222"
  - "5269:5269"

3. Prosody的标签配置（不需要ports/expose）：

labels:
  - "traefik.enable=true"
  # C2C（客户端到服务器）路由
  - "traefik.tcp.routers.prosody-c2c.entrypoints=xmpp-c2c"
  - "traefik.tcp.routers.prosody-c2c.rule=HostSNI(`prosody.local.lan`)"
  - "traefik.tcp.routers.prosody-c2c.tls.passthrough=true" # 让Prosody自己终止TLS
  - "traefik.tcp.routers.prosody-c2c.service=prosody-c2c-service"
  - "traefik.tcp.services.prosody-c2c-service.loadbalancer.server.port=5222"
  # S2S（服务器到服务器）路由
  - "traefik.tcp.routers.prosody-s2s.entrypoints=xmpp-s2s"
  - "traefik.tcp.routers.prosody-s2s.rule=HostSNI(`prosody.local.lan`)"
  - "traefik.tcp.routers.prosody-s2s.tls.passthrough=true"
  - "traefik.tcp.routers.prosody-s2s.service=prosody-s2s-service"
  - "traefik.tcp.services.prosody-s2s-service.loadbalancer.server.port=5269"

4. Ejabberd的配置只需要把SNI改成ejabberd.local.lan即可，完全不需要改端口，Traefik会根据SNI自动路由到对应的服务。

场景2：STARTTLS模式（先明文连接，再升级TLS） #

这种场景下，初始连接是明文，没有SNI信息，所以无法通过SNI区分服务，只能用不同的入口点端口：

1. Traefik新增入口点：

entryPoints:
  xmpp2-c2c:
    address: ":5221"

2. Traefik发布这个新端口：- "5221:5221"
3. Ejabberd的标签配置：

labels:
  - "traefik.enable=true"
  - "traefik.tcp.routers.xmpp2-c2c.entrypoints=xmpp2-c2c"
  # 明文流量没有SNI，用HostSNI(`*`)匹配所有流量（因为这个入口点只给Ejabberd用）
  - "traefik.tcp.routers.xmpp2-c2c.rule=HostSNI(`*`)"
  - "traefik.tcp.routers.xmpp2-c2c.service=xmpp2-c2c-service"
  - "traefik.tcp.services.xmpp2-c2c-service.loadbalancer.server.port=5222"

然后客户端连接Ejabberd时，用local.lan:5221并开启STARTTLS即可。

四、关于“XMPP是否应该放在反向代理后”的疑问 #

当然可以放在Traefik后面，而且很有价值：

• 统一管理所有入口流量，不用给每个XMPP服务单独发布端口
• 可以做负载均衡（比如多个Ejabberd节点）
• 如果不需要XMPP服务自己处理TLS，还可以让Traefik统一终止TLS，集中管理证书（不过要注意S2S场景下的证书验证需求）

核心是要根据XMPP的TLS模式选择正确的路由方式：严格TLS用SNI区分，STARTTLS用独立端口区分。

最后总结正确的配置流程 #

1. 创建一个Docker自定义网络（比如traefik-net），让Traefik和所有XMPP服务都加入这个网络
2. 配置Traefik的TCP入口点并发布对应的端口
3. 后端XMPP服务不要配置ports或expose，只需要在容器内部监听对应端口
4. 根据TLS模式配置Traefik的TCP路由规则：
   • 严格TLS：用HostSNI()+tls.passthrough=true
   • STARTTLS：用独立的入口点端口，匹配所有流量到对应服务

内容的提问来源于stack exchange，提问作者hidatsa