Traefik代理后Mailcow出现HTTPS证书错误问题求助

你遇到的核心问题是Traefik无法识别nginx-mailcow容器，导致ACME证书无法自动生成，只能通过不安全的HTTP访问。我会从网络连通性、标签配置、Mailcow内部设置三个核心方向帮你排查解决：

1. 确保Traefik与Mailcow共享同一Docker网络 #

Traefik只能发现同一网络下的容器，所以首先要确认nginx-mailcow加入了Traefik使用的网络：

步骤1：检查Traefik的网络配置 #

查看你的Traefik docker-compose.yml，确认它使用的目标网络（比如自定义的traefik_net）：

services:
  traefik:
    ...
    networks:
      - traefik_net  # Traefik的核心代理网络
networks:
  traefik_net:
    external: true  # 如果是预先创建的外部网络

步骤2：将nginx-mailcow加入Traefik网络 #

修改Mailcow的docker-compose.override.yml，添加Traefik网络：

version: '2.1'
services:
  nginx-mailcow:
    networks:
      - mailcow-network  # 保留Mailcow原有内部网络
      - traefik_net      # 加入Traefik的代理网络
networks:
  traefik_net:
    external: true

2. 配置完整的Traefik v2识别标签 #

nginx-mailcow需要正确的Traefik标签才能被识别并启用HTTPS，更新你的docker-compose.override.yml：

version: '2.1'
services:
  nginx-mailcow:
    labels:
      # 启用Traefik代理该容器
      - "traefik.enable=true"
      # 配置HTTP路由（自动跳转到HTTPS）
      - "traefik.http.routers.mailcow-http.entrypoints=http"
      - "traefik.http.routers.mailcow-http.rule=Host(`mail.tld.com`)"
      - "traefik.http.routers.mailcow-http.middlewares=redirect-to-https@file"
      # 配置HTTPS路由
      - "traefik.http.routers.mailcow.entrypoints=https"
      - "traefik.http.routers.mailcow.rule=Host(`mail.tld.com`)"
      - "traefik.http.routers.mailcow.tls=true"
      - "traefik.http.routers.mailcow.tls.certresolver=letsencrypt"  # 对应Traefik配置的证书解析器名称
      # 绑定容器内部端口（对应mailcow.conf的HTTP_PORT=8080）
      - "traefik.http.services.mailcow.loadbalancer.server.port=8080"
    networks:
      - mailcow-network
      - traefik_net

3. 修正Mailcow的端口绑定配置 #

你设置了HTTP_BIND=127.0.0.1，这会导致nginx-mailcow容器只监听自身的localhost接口，同一网络的Traefik无法访问。需要修改mailcow.conf：

# 让容器监听所有接口，允许Traefik访问
HTTP_BIND=0.0.0.0
HTTP_PORT=8080
HTTPS_BIND=127.0.0.1  # 禁用容器自身的HTTPS，完全由Traefik处理
HTTPS_PORT=8443
SKIP_LETS_ENCRYPT=y  # 保留，让Traefik负责证书生成
SKIP_CLAMD=y

4. 验证Traefik的Docker Provider配置 #

确保你的traefik.yml中启用了Docker Provider，并正确配置：

api:
  dashboard: true
entryPoints:
  http:
    address: ":80"
  https:
    address: ":443"
providers:
  docker:
    endpoint: "unix:///var/run/docker.sock"
    exposedByDefault: false  # 只处理带有traefik.enable=true标签的容器
    network: "traefik_net"   # 指定Traefik要监控的代理网络
certificatesResolvers:
  letsencrypt:
    acme:
      email: your-email@tld.com  # 你的ACME注册邮箱
      storage: acme.json
      httpChallenge:
        entryPoint: http

5. 重启服务并验证 #

1. 重启Traefik：

docker-compose -f /path/to/traefik/docker-compose.yml up -d

2. 重启Mailcow：

cd /path/to/mailcow-dockerized
docker-compose up -d

3. 查看Traefik日志，确认是否成功发现nginx-mailcow：

docker logs -f traefik

你应该能看到类似Added outgoing route for mail.tld.com的日志信息。
4. 访问https://mail.tld.com，检查浏览器是否显示有效的Let's Encrypt证书。

额外排查点 #

• 确认你的域名mail.tld.com已经正确解析到服务器IP，并且80/443端口对外开放。
• 检查Traefik的acme.json权限是否正确（必须为600权限，否则无法写入证书）：

chmod 600 /path/to/traefik/acme.json

内容的提问来源于stack exchange，提问作者AMIT