如何让Traefik不为Trasa堡垒机容器管理TLS证书？

要让Traefik仅做反向代理、完全由Trasa自行管理HTTPS证书，核心是让Traefik透传TCP流量而非终止TLS后转发HTTP请求。你之前用traefik.http.routers.bastion-web-secure.tls=false无效，是因为HTTP路由的配置逻辑和TCP透传不匹配，具体配置步骤如下：

1. 调整Docker Compose中Trasa容器的Traefik标签 #

移除原有的HTTP/HTTPS路由器配置，改用TCP路由实现流量透传，示例配置片段：

services:
  trasa_app:
    image: trasaio/trasa:latest
    # 保留你的其他Trasa配置（如卷挂载、环境变量等）
    labels:
      # 配置TCP路由器，绑定Traefik的websecure入口点（默认443端口）
      - "traefik.tcp.routers.bastion-tcp.entrypoints=websecure"
      # 通过域名SNI匹配流量，替换为你的Trasa实际域名
      - "traefik.tcp.routers.bastion-tcp.rule=HostSNI(`your-trasa-domain.com`)"
      # 关联到对应的TCP服务
      - "traefik.tcp.routers.bastion-tcp.service=bastion-tcp-service"
      # 配置TCP服务，指向Trasa容器的443端口（Trasa自身处理HTTPS的端口）
      - "traefik.tcp.services.bastion-tcp-service.loadbalancer.server.port=443"
    networks:
      - traefik-network # 确保Trasa和Traefik在同一Docker网络下

2. 确保Trasa自身已配置HTTPS证书 #

在Trasa的配置文件（如trasa-config.yaml）中开启HTTPS并指定证书路径，示例：

server:
  https: true
  # 替换为你实际的证书和密钥文件路径（需通过卷挂载到容器内）
  cert: /trasa/certs/trasa.crt
  key: /trasa/certs/trasa.key

如果没有自签名或购买的证书，也可以让Trasa自动生成自签名证书（部分版本支持此功能）。

3. 清理冲突配置并重启容器 #

• 删除之前添加的traefik.http.routers.bastion-web-secure.tls=false相关HTTP路由标签
• 重启Traefik和Trasa容器：

docker-compose down && docker-compose up -d

原理说明 #

• TCP路由模式下，Traefik不会解析HTTPS流量，只是将443端口的TCP数据包原封不动转发给Trasa的443端口，由Trasa自行完成TLS握手、证书验证等操作
• 之前的HTTP路由配置会让Traefik尝试终止TLS（即使设置tls=false，也会用HTTP协议和后端通信），和Trasa的HTTPS服务协议不匹配，导致出现默认证书或连接报错

内容的提问来源于stack exchange，提问作者Dimox