![\"Der](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/etikettenbaum-de.png\")
Drei Gebilde, ein Name<\/h2>\n
Ein Router entscheidet, welche Anfragen zu diesem Container geh\u00f6ren, ein Dienst sagt, wohin sie geschickt werden, und eine Middleware ver\u00e4ndert sie unterwegs. Jedes lebt unter einem eigenen Zweig von Router und Dienst sind gebunden, weil beide Belegt der Container genau einen Port, kann das Dienst-Label ganz entfallen, Traefik schlie\u00dft es sich zusammen. Diese Bequemlichkeit zu kennen lohnt vor allem, um sie in fremden Dateien wiederzuerkennen – sobald ein zweiter Port auftaucht, endet das Schlie\u00dfen, und die Route bricht in dem Augenblick, in dem ein v\u00f6llig unbeteiligter Port hinzukommt.<\/p>\n Middlewares werden \u00fcber ihren Namen angesprochen, und der Name allein gen\u00fcgt nicht. Traefik f\u00fchrt je Quelle einen eigenen Namensraum – die Docker-Labels, eine statische Datei, eine Kubernetes-Ressource -, und ein blo\u00dfes Das falsch zu machen, ist der leiseste der drei Fehler. Der Router ist g\u00fcltig, der Dienst ist g\u00fcltig, die Route funktioniert – sie liefert die Anwendung blo\u00df ohne die Anmeldung aus, die davor stehen sollte. Nichts im Protokoll erw\u00e4hnt eine \u00fcbersprungene Middleware, denn aus Traefiks Sicht wurde keine verlangt.<\/p>\n Ein bcrypt-Streuwert sieht aus wie Das Verdoppeln ist eine Compose-Regel und keine Traefik-Regel – deshalb muss dieselbe Zeichenkette je nach Aufenthaltsort verschieden geschrieben werden. Ein Streuwert in Traefiks eigener dynamischer Konfigurationsdatei beh\u00e4lt seine einfachen Dollarzeichen, derselbe Streuwert in einer Compose-Datei braucht sie doppelt, und eine funktionierende Einrichtung von der einen in die andere zu \u00fcbertragen, zerlegt sie genau auf diese Weise.<\/p>\n Das Symptom ist eine Anmeldeaufforderung, die jedes Passwort ablehnt, auch das richtige – was dazu f\u00fchrt, dass das Passwort gepr\u00fcft wird und nicht die Datei, die es aufgefressen hat.<\/p>\n F\u00fcnf der sechs beantwortet die \u00dcbersichtsseite, was daf\u00fcr spricht, sie auch auf einer kleinen Maschine an einem internen Eingang einzuschalten. Sie zeigt, was Traefik tats\u00e4chlich verstanden hat, und jeder dieser Fehler ist ein Unterschied zwischen dem Geschriebenen und dem Verstandenen.<\/p>\n Die erste besteht darin, jeden Namen aus dem Dienst abzuleiten und ihn an allen drei Stellen unver\u00e4ndert zu verwenden – Container Die zweite besteht darin, die Labels zur\u00fcckzulesen statt die Datei. traefik.http<\/code>, und jedes wird \u00fcber einen frei gew\u00e4hlten Namen bezeichnet – der Label-Schl\u00fcssel ist die Erkl\u00e4rung.<\/p>\nlabels:\n - \"traefik.enable=true\"\n - \"traefik.http.routers.blog.rule=Host(`blog.example.com`)\"\n - \"traefik.http.routers.blog.entrypoints=websecure\"\n - \"traefik.http.routers.blog.tls.certresolver=le\"\n - \"traefik.http.routers.blog.middlewares=blog-auth@docker\"\n - \"traefik.http.middlewares.blog-auth.basicauth.users=admin:$$2y$$05$$e6zX\u2026\"\n - \"traefik.http.services.blog.loadbalancer.server.port=8080\"<\/code><\/pre>\nblog<\/code> hei\u00dfen. Es gibt keine Zeile, die das sagt. Wer traefik.http.services.blogg.loadbalancer.server.port<\/code> schreibt, erzeugt einen Dienst namens blogg<\/code>, auf den nichts zeigt, und einen Router namens blog<\/code> ohne Dienst – und Traefik beantwortet Anfragen an diesen Namen mit einer 404, statt zu sagen, was fehlt.<\/p>\nDer Zusatz f\u00fcr die Quelle<\/h2>\n
blog-auth<\/code> wird in der fragenden Quelle gesucht, mit einem R\u00fcckfall, der oft genug \u00fcberrascht, um es auszusprechen: Der Verweis geh\u00f6rt als blog-auth@docker<\/code> geschrieben.<\/p>\nDie Dollarfalle<\/h2>\n
$2y$05$e6zX...<\/code> und besteht zu einem guten Teil aus Dollarzeichen. Docker Compose ersetzt in jedem gelesenen Wert Variablen, aus $2y<\/code> wird also eine leere Zeichenkette, aus $05<\/code> ebenfalls, und das Passwort, das bei Traefik ankommt, ist ein Bruchst\u00fcck, das auf nichts passt.<\/p>\n# erzeugen\nhtpasswd -nbB admin \"passwort\"\nadmin:$2y$05$e6zXx8Q0m2yYy1H4o1Yb1uJf2Rr7cKq5dW6vT8sN0pL3aG9hC1dS2\n\n# in der docker-compose.yml wird jedes $ verdoppelt\nadmin:$$2y$$05$$e6zXx8Q0m2yYy1H4o1Yb1uJf2Rr7cKq5dW6vT8sN0pL3aG9hC1dS2\n\n# in einer reinen Etikettendatei oder auf der Befehlszeile bleibt es einfach<\/code><\/pre>\nWie sich jeder Fehler von au\u00dfen zeigt<\/h2>\n
\n\n
\n \nFehler<\/th>\n Symptom<\/th>\n Wo nachzusehen ist<\/th>\n<\/tr>\n<\/thead>\n \n Name in Router und Dienst verschieden<\/td>\n 404 f\u00fcr diesen Namen<\/td>\n die \u00dcbersicht: ein Router ohne Dienst<\/td>\n<\/tr>\n \n Middleware ohne @docker<\/code><\/td>\ndie Seite \u00f6ffnet ohne Anmeldung<\/td>\n die \u00dcbersicht: der Router f\u00fchrt keine Middleware<\/td>\n<\/tr>\n \n Einfache Dollarzeichen in Compose<\/td>\n 401 bei jedem Passwort<\/td>\n docker inspect<\/code>: das Label ist k\u00fcrzer als der Streuwert<\/td>\n<\/tr>\n\n Container nicht im Proxy-Netz<\/td>\n 502 oder 504<\/td>\n der Dienst hat keinen erreichbaren Server<\/td>\n<\/tr>\n \n traefik.enable=true<\/code> fehlt<\/td>\n404, es erscheint \u00fcberhaupt nichts<\/td>\n die \u00dcbersicht: der Container ist nicht aufgef\u00fchrt<\/td>\n<\/tr>\n \n Zwei Container, gleicher Routername<\/td>\n einer gewinnt, scheinbar zuf\u00e4llig<\/td>\n die \u00dcbersicht: ein Router, ein Ziel<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Zwei Gewohnheiten, die das meiste verhindern<\/h2>\n
blog<\/code>, Router blog<\/code>, Dienst blog<\/code>, Middleware blog-auth<\/code>. Ein mechanisch gebildeter Name l\u00e4sst sich nicht falsch erinnern, und ein Vergleich der Labels zweier Container zeigt dann nur noch die Zeilen, die sich wirklich unterscheiden.<\/p>\ndocker inspect<\/code> zeigt die Werte so, wie der Dienst sie abgelegt hat, nachdem Compose mit dem Ersetzen fertig war – dort wird aus einem verdoppelten Dollarzeichen wieder ein einfaches, und dort ist einem \u00fcberlebenden Streuwert anzusehen, dass er genauso lang ist wie der erzeugte.<\/p>\n