将Docker-Compose部署迁移至单节点Docker Swarm集群的方案咨询

1. 保留HAProxy为systemd服务，转发请求至Docker Swarm集群的方案 #

直接复用原有HAProxy核心配置，仅需调整Swarm中Flask服务的端口发布策略：

• 在Swarm部署的docker-compose.yml中，将Flask服务的端口绑定到宿主机本地回环接口，确保只有本机HAProxy能访问：

  services:
    flask:
      image: your-flask-image
      ports:
        - "127.0.0.1:5000:5000"  # 仅在回环暴露容器内的Flask端口
      networks:
        - backend
    mysql:
      image: mysql:latest
      networks:
        - backend
      # 数据库环境变量、卷挂载等配置保持不变
  networks:
    backend:
      driver: overlay
      internal: true  # 内部网络，隔绝外部访问
  

• 保持HAProxy配置不变，后端服务器仍指向127.0.0.1:5000，Swarm会自动将Flask服务的流量映射到回环端口。
• 执行docker stack deploy -c docker-compose.yml your-stack完成Swarm部署，HAProxy即可通过回环正常转发请求到Swarm内的Flask服务。

2. HAProxy容器化并入Swarm集群的优劣及隔离实现 #

是否更优？ #

是，这是生产环境更推荐的方案：

• 整个部署栈由Swarm统一管控，无需分开维护systemd和Swarm服务，降低运维复杂度。
• 利用Swarm内置的服务发现，HAProxy无需硬编码IP/端口，直接通过服务名访问Flask，服务重启、扩容时自动适配。
• 后续扩展多节点集群时，无需大幅调整配置，可直接利用Swarm的负载均衡能力。

如何实现网络隔离？ #

通过Swarm的多网络划分实现公网接口与后端服务的隔离：

步骤1：定义Swarm网络

创建两个overlay网络，严格划分权限：

• backend-net：内部私有网络，仅允许Flask与MySQL互相访问，禁止外部（包括宿主机）访问。
• HAProxy直接通过端口发布绑定公网接口，同时加入backend-net以访问Flask服务。

步骤2：完整部署配置示例

docker-compose.yml内容：

version: "3.8"

networks:
  backend-net:
    driver: overlay
    internal: true  # 标记为内部网络，隔绝外部访问
    attachable: false  # 禁止外部容器随意接入

services:
  haproxy:
    image: haproxy:latest
    volumes:
      - ./haproxy.cfg:/usr/local/etc/haproxy/haproxy.cfg
      - ./ssl-certs:/certs  # 挂载SSL证书目录
    ports:
      - "0.0.0.0:443:443"  # 绑定公网所有接口的443端口，也可指定具体公网IP
    networks:
      - backend-net  # 加入后端网络，访问Flask服务
    deploy:
      mode: replicated
      replicas: 1
      restart_policy:
        condition: on-failure

  flask:
    image: your-flask-image
    networks:
      - backend-net
    environment:
      - DB_HOST=mysql  # 通过Swarm DNS解析MySQL服务名
    deploy:
      mode: replicated
      replicas: 1
      restart_policy:
        condition: on-failure

  mysql:
    image: mysql:8.0
    networks:
      - backend-net
    environment:
      - MYSQL_ROOT_PASSWORD=your-secure-password
      - MYSQL_DATABASE=your-app-db
    volumes:
      - mysql-data:/var/lib/mysql  # 持久化数据库数据
    deploy:
      mode: replicated
      replicas: 1
      restart_policy:
        condition: on-failure

volumes:
  mysql-data:  # Swarm管理的持久化卷

步骤3：HAProxy配置调整

修改HAProxy的后端服务器指向Flask服务名（Swarm DNS自动解析）：

frontend https_front
  bind *:443 ssl crt /certs/your-domain-cert.pem
  default_backend flask_backend

backend flask_backend
  server flask-service flask:5000 check  # "flask"为Swarm服务名，5000为容器内Flask端口

这种配置下：

• HAProxy独占公网443端口，处理外部HTTPS请求。
• Flask与MySQL仅在内部backend-net网络通信，完全隔离于公网和宿主机回环之外，比直接用回环更安全。

内容的提问来源于stack exchange，提问作者csuser