Docker Swarm部署HTTPS私有仓库遇Traefik TLS握手错误求助

从你给出的错误日志http: TLS handshake error from 10.0.0.68:47796: tls: first record does not look like a TLS handshake来看，核心问题是Traefik和私有仓库容器之间的通信协议不匹配——一方在发HTTP请求，另一方却在期待TLS（HTTPS）连接，反过来也会触发这个错误。下面是一步步的排查和解决方法：

1. 明确你的TLS终止策略 #

首先要搞清楚你想让谁来处理HTTPS：

• 推荐方案：Traefik终止TLS（对外提供HTTPS，Traefik和仓库之间用HTTP通信）
• 备选方案：私有仓库自己处理HTTPS（Traefik和仓库之间也用HTTPS通信）

方案1：让Traefik负责终止TLS（最省心） #

这种情况下，私有仓库本身不需要配置任何TLS相关的参数，只用监听HTTP的5000端口即可。你需要做这些调整：

• 检查私有仓库的服务配置，确保没有设置REGISTRY_HTTP_TLS_CERTIFICATE、REGISTRY_HTTP_TLS_KEY这类环境变量，也没有挂载证书文件到容器里。
• 调整Traefik标签，明确指定通信协议为HTTP（虽然Traefik默认是HTTP，但显式设置更稳妥）：

  traefik.backend: "privateregistry"
  traefik.docker.network: "webgateway"
  traefik.enable: "true"
  traefik.frontend.entryPoint: "https"
  traefik.frontend.redirect.entryPoint: "https"
  traefik.frontend.rule: "Host:myregistry.mysite.com"
  traefik.port: "5000"
  traefik.protocol: "http"  # 新增这一行
  

• 确认Traefik的HTTPS入口点（entryPoint）已经正确配置了覆盖myregistry.mysite.com的证书（不管是Let's Encrypt自动生成的还是你自己的证书）。

方案2：让私有仓库自己处理HTTPS #

如果你坚持让仓库自己管理TLS，那需要确保Traefik和仓库之间的通信也是HTTPS：

• 先配置私有仓库的TLS：在stack yml里添加证书挂载和环境变量：

  services:
    privateregistry:
      image: registry:2
      environment:
        REGISTRY_HTTP_TLS_CERTIFICATE: /certs/myregistry.mysite.com.crt
        REGISTRY_HTTP_TLS_KEY: /certs/myregistry.mysite.com.key
      volumes:
        - ./registry-certs:/certs
        - registry-data:/var/lib/registry
      # 其他Traefik标签...
  

• 调整Traefik标签，指定用HTTPS协议连接仓库，并且如果是自签证书，需要让Traefik跳过证书验证（生产环境不推荐，最好把自签证书加入Traefik的信任根）：

  traefik.backend: "privateregistry"
  traefik.docker.network: "webgateway"
  traefik.enable: "true"
  traefik.frontend.entryPoint: "https"
  traefik.frontend.redirect.entryPoint: "https"
  traefik.frontend.rule: "Host:myregistry.mysite.com"
  traefik.port: "5000"
  traefik.protocol: "https"  # 新增这一行
  traefik.backend.serverstransport.insecureskipverify: "true"  # 跳过证书验证（仅测试用）
  

2. 验证网络和连通性 #

• 确认webgateway这个overlay网络是外部可访问的，并且Traefik服务和私有仓库服务都正确加入了这个网络。
• 在Swarm集群内找一个容器，直接测试仓库的连通性：
  • 如果是HTTP模式：curl http://privateregistry:5000/v2/，正常应该返回{}
  • 如果是HTTPS模式：curl https://privateregistry:5000/v2/ --cacert /path/to/your/ca.crt，同样应该返回{}

3. 检查Traefik日志 #

查看Traefik的服务日志，找有没有关于转发请求的详细错误信息，比如：

docker service logs traefik-service-name

这能帮你进一步定位是证书问题、端口映射问题还是路由规则问题。

按照上面的步骤调整后，应该就能解决这个TLS握手错误，正常通过https://myregistry.mysite.com/v2/访问私有仓库了。

内容的提问来源于stack exchange，提问作者rroblik