Usare i certificati Tailscale con Traefik

La nuova release di Traefik con la major release 3, ha introdotto alcune novità. Tra queste c’é l’integrazione con i certificati di Tailscale. Questa novità permette di avere dei certificati per l’https in modo semplice.

Naturalmente ci sono alcune limitazioni e vanno considerate (installazione su docker):

1. Tailscale deve essere funzionante sulla macchina sulla quale gira docker
2. al momento (vedi #9772) può essere richiesto solo il certificato della macchina locale (hostname definito su Tailscale)

Configurazione di Tailscale

Si trovano parecchie guide su come creare delle reti Tailscale, quindi non farà parte di questa guida. Per rendere funzionante il passo successivo si devono configurare i seguenti punti (console di amministrazione, nel tab DNS):

Ricuperare fotografie da micro SD corrotta

Mia figlia ha ricevuto in regalo una macchina fotografica per bambini (ITSHINY o altri produttori simili) con la quale si cimenta in molti scatti artistici (50 sfocature d’autore). Non voglio fare un review dell’apparecchio, ma voglio raccontarvi della situazione nella quale mi sono ritrovato quando volevo scaricare le ultime fotografie fatte. Infatti ho collegato la macchina tramite cavo USB al mio computer e stranamente non appariva nessun disco per scaricare le foto. Panico, ho perso tutte le foto (non era un problema ma qualcuna era pure carina).

Creare il proprio office online con Nextcloud

TL;DR

Nextcloud è la soluzione opensource che permette di trasformare molti device nella propria soluzione di storage online (come Dropbox). Ma non solo perchè grazie a molti app è possibile espandere le funzionalità e creare la propria soluzione di office online, come Office 365 di Microsoft o Drive di Google.

In questa guida veloce ho cercato di descrivere i passaggi per ottenere un’istanza di base di Nextcloud e sfruttare ONLYOFFICE per poter modificare i documenti online. Il tutto reso disponibile tramite Traefik reverse proxy, così da garantire una connessione sicura tramite https.

Attivare HTTP/3 in traefik

Wake-on-LAN da Guacamole in docker

Il servizio Guacamole permette di lanciare un pacchetto “Wake on LAN” (WOL) prima di collegarsi alla macchina con VNC o RDP. Purtroppo per impostazione di default di Docker, le reti configurate come bridge non permettono di inviare in uscita i pacchetti broadcast (anche se diretti a una subnet specifica). Questo impedisce l’utilizzo di WOL e Guacamole. Resta la possibilità di configurare il container guacd sulla rete host, ma questa soluzione ha problemi di sicurezza.

Certificati origine di Cloudflare in Traefik

Utilizzando Cloudflare come DNS provider per i propri domini è possibile sfruttare i suoi certificati SSL per assicurare i propri siti web. Così da non dover lottare con Traefik e Let’s Encrypt per generare i propri certificati.

Questa guida è anche utile se si usano i domini gratuiti descritti in questo post, perché Cloudflare blocca la creazione di certificati tramite Let’s Encrypt.

Principio

Cloudflare crea un certificato dedicato che permette al server di comunicare solo con i server di Cloudflare. Il certificato non è riconosciuto come valido dai vari browser. I proxy di Cloudflare forniranno poi un certificato valido e riconosciuto da tutti i maggiori browser.

Multipli domini per il medesimo container con Traefik

Questo esempio mostra come è possibile configurare vari domini per accedere al medesimo container docker sfruttando Traefik. In questo esempio voglio collegare i domini whoami.example.com e whoami.traefik-examples.tk allo stesso container docker.

Tutti i file necessari sono disponibili su GitHub.

Requisiti

1. Due nomi di dominio che puntano entrambi all’istanza di Traefik (in questo esempio uso example.com e traefik-examples.tk)
2. Per entrambi i domini il certificato SSL è generato da Let’s Encrypt
3. Traefik è già funzionante (vedi esempio di base)

Passaggi

1. Aggiungere o modificare il docker-compose dei container interessati

  whoami:
    image: containous/whoami
    container_name: whoami
    labels:
      - 'traefik.enable=true'
      - "traefik.http.routers.whoami.rule=Host(`whoami.example.com`) || Host(`whoami.traefik-examples.tk`)"  # <== modificare
      - 'traefik.http.routers.whoami.entrypoints=web-secure'
      - 'traefik.http.routers.whoami.tls=true'
      - "traefik.http.routers.whoami.tls.certresolver=certificato"
      - "traefik.http.routers.whoami.tls.domains[0].main=*.example.com"
      - "traefik.http.routers.whoami.tls.domains[1].main=*.traefik-examples.tk" # <== aggiungere

2. Ricreare il container whoami con il comando

sudo docker-compose up -d whoami

3. Nel browser provare a raggiungere il sito utilizzando entrambi gli indirizzi

Se scopri dei problemi in questa guida o nei file di configurazione puoi aprire una issue su GitHub. Grazie!