{"id":10402,"date":"2026-09-13T18:10:00","date_gmt":"2026-09-13T16:10:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=10402"},"modified":"2026-09-09T13:20:09","modified_gmt":"2026-09-09T11:20:09","slug":"etykiety-traefika-po-kolei-wraz-z-pulapka-dolara","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/it-networks-pl\/etykiety-traefika-po-kolei-wraz-z-pulapka-dolara\/","title":{"rendered":"Etykiety Traefika po kolei, wraz z pu\u0142apk\u0105 dolara"},"content":{"rendered":"

Traefika konfiguruje si\u0119, pisz\u0105c etykiety na kontenerze – co brzmi jak lista ustawie\u0144, a w rzeczywisto\u015bci jest przestrzeni\u0105 nazw. Klucze to \u015bcie\u017cki po drzewie, a to, co wygl\u0105da na sze\u015b\u0107 niezale\u017cnych wierszy, to trzy twory wiedz\u0105ce o sobie tylko dlatego, \u017ce cz\u0142on w \u015brodku klucza przypadkiem zapisano tak samo.<\/p>\n

Ta budowa czyni konfiguracj\u0119 kr\u00f3tk\u0105, a jej awarie cichymi. Nic nie sprawdza nazwy wzgl\u0119dem czegokolwiek, liter\u00f3wka tworzy wi\u0119c drugi, pusty tw\u00f3r zamiast skargi.<\/p>\n

\n\"Przestrze\u0144
Klucze s\u0105 drzewem. Nazwa po\u015brodku to jedyna rzecz spinaj\u0105ca trzy ga\u0142\u0119zie.<\/figcaption><\/figure>\n

Trzy twory, jedna nazwa<\/h2>\n

Router rozstrzyga, kt\u00f3re \u017c\u0105dania nale\u017c\u0105 do tego kontenera, us\u0142uga m\u00f3wi, dok\u0105d je pos\u0142a\u0107, a middleware zmienia je po drodze. Ka\u017cde \u017cyje pod w\u0142asn\u0105 ga\u0142\u0119zi\u0105 traefik.http<\/code> i ka\u017cde oznacza si\u0119 dowolnie wybran\u0105 nazw\u0105 – klucz etykiety jest deklaracj\u0105.<\/p>\n

labels:\n  - \"traefik.enable=true\"\n  - \"traefik.http.routers.blog.rule=Host(`blog.example.com`)\"\n  - \"traefik.http.routers.blog.entrypoints=websecure\"\n  - \"traefik.http.routers.blog.tls.certresolver=le\"\n  - \"traefik.http.routers.blog.middlewares=blog-auth@docker\"\n  - \"traefik.http.middlewares.blog-auth.basicauth.users=admin:$$2y$$05$$e6zX\u2026\"\n  - \"traefik.http.services.blog.loadbalancer.server.port=8080\"<\/code><\/pre>\n
Router i us\u0142uga s\u0105 powi\u0105zane, bo oba nazywaj\u0105 si\u0119 blog<\/code>. Nie ma wiersza, kt\u00f3ry by to m\u00f3wi\u0142. Kto napisze traefik.http.services.blogg.loadbalancer.server.port<\/code>, tworzy us\u0142ug\u0119 blogg<\/code>, na kt\u00f3r\u0105 nic nie wskazuje, i router blog<\/code> bez us\u0142ugi – a Traefik odpowie na \u017c\u0105dania do tej nazwy kodem 404, zamiast powiedzie\u0107, czego brakuje.<\/p>\n
Gdy kontener wystawia dok\u0142adnie jeden port, etykieta us\u0142ugi odpada w ca\u0142o\u015bci, Traefik dopowie j\u0105 sobie. Warto o tym wygodnictwie wiedzie\u0107 g\u0142\u00f3wnie po to, by rozpozna\u0107 je w cudzych plikach – z chwil\u0105 pojawienia si\u0119 drugiego portu dopowiadanie si\u0119 ko\u0144czy, a trasa p\u0119ka dok\u0142adnie wtedy, gdy dochodzi zupe\u0142nie niezwi\u0105zany port.<\/p>\n
Przyrostek \u017ar\u00f3d\u0142a<\/h2>\n
Middleware wskazuje si\u0119 po nazwie, a sama nazwa nie wystarczy. Traefik prowadzi osobn\u0105 przestrze\u0144 nazw dla ka\u017cdego \u017ar\u00f3d\u0142a – etykiet Dockera, pliku statycznego, zasobu Kubernetesa – a samo blog-auth<\/code> szuka si\u0119 w \u017ar\u00f3dle pytaj\u0105cym, z odwrotem zaskakuj\u0105cym na tyle cz\u0119sto, by powiedzie\u0107 to wprost: odwo\u0142anie nale\u017cy zapisa\u0107 jako blog-auth@docker<\/code>.<\/p>\n
Pomy\u0142ka tutaj jest najcichsz\u0105 z trzech. Router jest poprawny, us\u0142uga jest poprawna, trasa dzia\u0142a – wydaje tylko aplikacj\u0119 bez logowania, kt\u00f3re mia\u0142o przed ni\u0105 sta\u0107. Nic w dzienniku nie wspomina o pomini\u0119tym middleware, bo z punktu widzenia Traefika \u017cadnego nie za\u017c\u0105dano.<\/p>\n
Pu\u0142apka dolara<\/h2>\n
Skr\u00f3t bcrypt wygl\u0105da jak $2y$05$e6zX...<\/code> i w sporej cz\u0119\u015bci sk\u0142ada si\u0119 ze znak\u00f3w dolara. Docker Compose podstawia zmienne w ka\u017cdej odczytanej warto\u015bci, z $2y<\/code> robi si\u0119 wi\u0119c pusty napis, z $05<\/code> r\u00f3wnie\u017c, a has\u0142o docieraj\u0105ce do Traefika jest u\u0142omkiem, kt\u00f3ry do niczego nie pasuje.<\/p>\n
# wygenerowanie\nhtpasswd -nbB admin \"haslo\"\nadmin:$2y$05$e6zXx8Q0m2yYy1H4o1Yb1uJf2Rr7cKq5dW6vT8sN0pL3aG9hC1dS2\n\n# w docker-compose.yml każdy $ zostaje podwojony\nadmin:$$2y$$05$$e6zXx8Q0m2yYy1H4o1Yb1uJf2Rr7cKq5dW6vT8sN0pL3aG9hC1dS2\n\n# w czystym pliku etykiet albo w wierszu poleceń zostaje pojedynczy<\/code><\/pre>\n
Podwajanie jest regu\u0142\u0105 Compose’a, a nie Traefika – dlatego ten sam napis trzeba zapisa\u0107 inaczej zale\u017cnie od miejsca pobytu. Skr\u00f3t we w\u0142asnym pliku dynamicznej konfiguracji Traefika zachowuje pojedyncze dolary, ten sam skr\u00f3t w pliku Compose potrzebuje ich podw\u00f3jnie, a przeniesienie dzia\u0142aj\u0105cej konfiguracji z jednego do drugiego rozk\u0142ada j\u0105 dok\u0142adnie w ten spos\u00f3b.<\/p>\n
Objawem jest okienko logowania odrzucaj\u0105ce ka\u017cde has\u0142o, r\u00f3wnie\u017c w\u0142a\u015bciwe – co prowadzi do sprawdzania has\u0142a, a nie pliku, kt\u00f3ry je zjad\u0142.<\/p>\n
Jak ka\u017cdy z tych b\u0142\u0119d\u00f3w wygl\u0105da z zewn\u0105trz<\/h2>\n\n\n\n\n\n\n\n\n\n\n
B\u0142\u0105d<\/th>\nObjaw<\/th>\nGdzie zajrze\u0107<\/th>\n<\/tr>\n<\/thead>\n
R\u00f3\u017cna nazwa w routerze i us\u0142udze<\/td>\n404 dla tej nazwy<\/td>\npanel: router bez us\u0142ugi<\/td>\n<\/tr>\n
Middleware bez @docker<\/code><\/td>\nstrona otwiera si\u0119 bez logowania<\/td>\npanel: router nie wymienia middleware<\/td>\n<\/tr>\n
Pojedyncze dolary w Compose<\/td>\n401 przy ka\u017cdym ha\u015ble<\/td>\ndocker inspect<\/code>: etykieta kr\u00f3tsza ni\u017c skr\u00f3t<\/td>\n<\/tr>\n
Kontener poza sieci\u0105 proxy<\/td>\n502 albo 504<\/td>\nus\u0142uga nie ma osi\u0105galnego serwera<\/td>\n<\/tr>\n
Brak traefik.enable=true<\/code><\/td>\n404, nie pojawia si\u0119 nic<\/td>\npanel: kontenera nie ma na li\u015bcie<\/td>\n<\/tr>\n
Dwa kontenery, ta sama nazwa routera<\/td>\njeden wygrywa, pozornie losowo<\/td>\npanel: jeden router, jeden cel<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Pi\u0119\u0107 z sze\u015bciu rozstrzyga panel przegl\u0105dowy, co przemawia za w\u0142\u0105czeniem go r\u00f3wnie\u017c na ma\u0142ej maszynie, na wewn\u0119trznym wej\u015bciu. Pokazuje, co Traefik faktycznie zrozumia\u0142, a ka\u017cdy z tych b\u0142\u0119d\u00f3w jest r\u00f3\u017cnic\u0105 mi\u0119dzy napisanym a zrozumianym.<\/p>\n
Dwa nawyki, kt\u00f3re zapobiegaj\u0105 wi\u0119kszo\u015bci<\/h2>\n
Pierwszy polega na wyprowadzeniu ka\u017cdej nazwy z us\u0142ugi i u\u017cyciu jej bez zmian we wszystkich trzech miejscach – kontener blog<\/code>, router blog<\/code>, us\u0142uga blog<\/code>, middleware blog-auth<\/code>. Nazwy utworzonej mechanicznie nie da si\u0119 \u017ale zapami\u0119ta\u0107, a por\u00f3wnanie etykiet dw\u00f3ch kontener\u00f3w pokazuje wtedy ju\u017c tylko wiersze naprawd\u0119 si\u0119 r\u00f3\u017cni\u0105ce.<\/p>\n
Drugi polega na odczytywaniu etykiet, a nie pliku. docker inspect<\/code> pokazuje warto\u015bci tak, jak od\u0142o\u017cy\u0142a je us\u0142uga, po zako\u0144czeniu podstawiania przez Compose – tam z podwojonego dolara robi si\u0119 z powrotem pojedynczy i tam po ocala\u0142ym skr\u00f3cie wida\u0107, \u017ce jest dok\u0142adnie tak d\u0142ugi jak wygenerowany.<\/p>\n
\n
\u0179r\u00f3d\u0142a<\/h2>\n