Traefik Dashboard访问404及TLS证书错误求助（Docker+Bind9+CloudFlare）

1. TLS证书错误（bad certificate）核心排查 #

• 验证Cloudflare API令牌权限：必须拥有Zone:DNS:Edit和Zone:Zone:Read权限，缺少权限会导致DNS-01挑战失败，无法生成Wildcard证书。检查令牌配置时，确保关联了正确的域名Zone。
• 检查Traefik ACME配置：确认traefik.yml（或静态配置）中，Cloudflare resolver的环境变量CF_API_TOKEN/CF_ZONE_ID无拼写错误，且已正确注入容器。示例配置：

  certificatesResolvers:
    cloudflare:
      acme:
        email: your-email@domain.com
        storage: acme.json
        dnsChallenge:
          provider: cloudflare
          resolvers: ["1.1.1.1:53", "8.8.8.8:53"]
  

• 检查acme.json权限：该文件需设置chmod 600权限，否则Traefik无法写入证书内容，启动时会忽略证书生成逻辑。
• 查看Traefik ACME日志：搜索日志中acme:开头的条目，若存在failed to create TXT record或timeout waiting for DNS propagation，说明Cloudflare DNS挑战未完成，需检查DNS解析延迟或令牌权限。

2. Dashboard 404错误排查 #

• 确认Dashboard静态配置启用：在traefik.yml中必须添加api: dashboard: true，否则API和Dashboard功能未开启。
• 验证动态路由规则：确保动态配置（如docker-compose标签或单独的yml文件）中，Dashboard路由正确指向api@internal服务，且Host规则匹配你的子域名：

  http:
    routers:
      dashboard:
        rule: "Host(`traefik-dashboard.yourdomain.com`)"
        entryPoints: ["websecure"]
        service: "api@internal"
        tls:
          certResolver: "cloudflare"
  

• 本地IP访问的特殊处理：直接通过192.168.88.253访问时，需添加匹配IP的路由规则（Let's Encrypt不颁发IP证书，建议用HTTP入口点或自签证书）：

  http:
    routers:
      dashboard-ip:
        rule: "Host(`192.168.88.253`)"
        entryPoints: ["web"]
        service: "api@internal"
  

• 检查入口点配置：确认traefik.yml中定义了web（80）和websecure（443）入口点，且Dashboard路由关联了正确的入口点。

3. Bind9与网络配置验证 #

• 测试Bind9解析：执行nslookup traefik-dashboard.yourdomain.com 192.168.88.253，确认返回的IP是Traefik容器的IP或宿主机IP（若用端口映射）。若解析失败，检查Bind9的zone文件中是否正确添加了A记录：

  traefik-dashboard IN A 192.168.88.253
  

• 确认Docker网络连通性：Traefik与Bind9需在同一自定义网络（而非默认bridge），执行docker network inspect your-network-name查看两个容器是否在网络列表中。

4. 日志辅助排查 #

• 查看Traefik启动日志：搜索error或warning条目，检查是否有配置加载失败、端口占用或权限问题。
• 实时监控访问日志：启动Traefik时添加--log.level=DEBUG，访问Dashboard时查看日志中是否有no route found for GET /（路由不匹配）或tls: bad certificate（证书未正确加载）的具体提示。

内容的提问来源于stack exchange，提问作者Riven