Docker Compose+Traefik环境下容器内无法访问Keycloak外部URL问题

问题核心 #

service_1容器直接连接Keycloak容器的8080端口（HTTP）被拒绝，本质是Keycloak可能配置了强制外部请求使用HTTPS，或service_1的认证适配器要求HTTPS端点，但直接访问内部HTTP端口不符合要求。最简便的方案是让容器内部请求也走Traefik反向代理，复用已有的SSL配置。

最优解决方案：让容器内部解析Keycloak域名到Traefik #

无需修改Keycloak的SSL配置、调整网络隔离或额外部署Traefik，只需三步实现：

1. 确保所有服务在同一自定义Docker网络
   在Docker Compose中定义自定义桥接网络，让Traefik、Keycloak、service_1都加入该网络（默认bridge网络也可，但自定义网络DNS解析更稳定）：

   networks:
     web:
       external: false # 自定义内部网络
   

   给每个服务添加networks: [web]配置。

2. 配置service_1容器的内部DNS解析
   通过extra_hosts让service_1容器内的keycloak.example.com域名解析到Traefik容器的IP（Docker会自动解析服务名称为容器IP）：

   services:
     service_1:
       # 其他配置...
       extra_hosts:
         - "keycloak.example.com:traefik" # traefik为你的Traefik服务名称
       networks:
         - web
   

3. 修改service_1的Keycloak认证配置
   将service_1中Keycloak的端点地址从http://keycloak:8080改为https://keycloak.example.com，确保所有认证请求走HTTPS并通过Traefik转发。

验证效果 #

进入service_1容器执行以下命令，确认能正常访问：

curl -v https://keycloak.example.com

此时请求会先到Traefik，由Traefik处理SSL后转发到Keycloak容器的8080端口（内部HTTP通信，符合Keycloak的配置要求）。

方案优势对比 #

• 无需给Keycloak配置SSL终止，复用Traefik已有的证书和配置
• 不需要调整网络隔离强制走主机转发，保持容器间内部网络通信的简洁性
• 无需额外部署Traefik实例，减少资源消耗和维护成本

内容的提问来源于stack exchange，提问作者cr3a7ure