Traefik配置：HTTPS访问Docker NiFi时用主机名替代IP

1. 确保容器间可通过主机名通信 #

首先把Traefik和NiFi放到同一个自定义Docker网络中（默认bridge网络的容器名解析支持有限，自定义网络默认启用容器名/主机名解析）。在docker-compose.yml中定义共享网络：

networks:
  nifi-traefik-net:
    driver: bridge

然后给两个容器都绑定这个网络：

services:
  traefik:
    # 你的Traefik镜像、端口等配置
    networks:
      - nifi-traefik-net

  nifi:
    image: apache/nifi:latest
    hostname: mynifi
    networks:
      - nifi-traefik-net
    # 你的NiFi环境变量、端口映射等配置

2. 强制Traefik用主机名访问NiFi后端 #

在NiFi容器的Traefik标签中，添加loadbalancer.server.name指定后端访问的主机名，覆盖默认的容器IP访问逻辑。完整标签示例：

services:
  nifi:
    # 其他配置...
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.nifi.entrypoints=websecure"
      - "traefik.http.routers.nifi.rule=Host(`nifi.yourdomain.com`)"
      - "traefik.http.routers.nifi.tls=true"
      # 核心配置：指定用容器主机名访问后端
      - "traefik.http.services.nifi-service.loadbalancer.server.name=mynifi"
      # 若NiFi用非默认HTTPS端口，需指定端口
      - "traefik.http.services.nifi-service.loadbalancer.server.port=8443"

3. 确保NiFi证书包含主机名SAN #

NiFi自动生成的证书需要包含mynifi这个DNS SAN，否则Traefik验证还是会失败。可以通过环境变量配置NiFi生成证书时添加SAN：

services:
  nifi:
    # 其他配置...
    environment:
      - NIFI_WEB_HTTPS_HOST=mynifi
      - NIFI_SECURITY_KEYSTORE_SAN=dns:mynifi,dns:nifi.yourdomain.com
      - NIFI_SECURITY_TRUSTSTORE_TYPE=PKCS12
      - NIFI_SECURITY_KEYSTORE_TYPE=PKCS12

重启NiFi后，新生成的证书会包含指定的DNS条目，Traefik用mynifi访问时就能正常验证证书。

4. 备选方案：仅针对NiFi服务跳过SSL验证（非全局） #

如果暂时无法调整NiFi证书，可以针对单个服务配置跳过验证，比全局开启insecureSkipVerify更安全：

services:
  nifi:
    # 其他配置...
    labels:
      # 其他标签...
      - "traefik.http.services.nifi-service.loadbalancer.server.scheme=https"
      - "traefik.http.services.nifi-service.loadbalancer.tls.insecureSkipVerify=true"

内容的提问来源于stack exchange，提问作者DataWrangler