![\"Anfrageweg](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/traefik-docker-heimserver-de.png\")
Schritt-f\u00fcr-Schritt-Implementierungsanleitung<\/h2>\nSchritt 1: Systemvorbereitung und Dateisystem-Hierarchie<\/h3>\n
Um eine persistente Datenspeicherung und eine saubere Struktur auf dem Raspberry-Pi-Host zu gew\u00e4hrleisten, muss ein standardisierter Verzeichnisbaum unter Kritischer Sicherheitshinweis:<\/em> Die Datei Die Routing-Infrastruktur wird in einer Vor der Ausf\u00fchrung des Compose-Stacks muss ein isoliertes Bridge-Netzwerk im Host-System initialisiert werden, damit Traefik sicher mit nachgelagerten Anwendungscontainern kommunizieren kann:<\/p>\n Um manuellen Wartungsaufwand bei Container-Updates zu eliminieren, wird Watchtower als autonomer Hintergrunddienst integriert. Da das urspr\u00fcngliche Repository Um eine selbstgehostete Anwendung ohne Anpassung zentraler Proxy-Konfigurationsdateien an den Traefik-Edge-Router anzubinden, werden dynamische Traefik-Routing-Labels direkt in der Compose-Definition des Zielsystems deklariert:<\/p>\n Nach dem Starten der Dienste mit Was sich damit erreichen l\u00e4sst:<\/strong> Der vollst\u00e4ndige Verzicht auf manuelles Reverse-Proxy-Routing, fehleranf\u00e4llige SSL-Skript-Cronjobs und manuelle Container-Updates zugunsten einer autonomen, deklarativen Docker-Compose-Infrastruktur mit Traefik v3 und Watchtower.<\/p>\n Resultierender Mehrwert:<\/strong><\/p>\n Nein. Das :ro verhindert nur, dass der Container die Socket-Datei selbst ver\u00e4ndert. \u00dcber den Socket spricht Traefik aber mit der Docker-API, und die unterscheidet nicht zwischen lesenden und schreibenden Aufrufen, nur weil die Datei schreibgesch\u00fctzt eingebunden ist. Wer den Socket erreicht, kann dar\u00fcber Container starten, auch solche mit eingebundenem Wurzelverzeichnis des Hosts, und hat damit faktisch Root-Rechte auf dem Raspberry Pi.<\/p>\n Das Risiko liegt deshalb in der Angriffsfl\u00e4che von Traefik: Es ist der einzige Dienst, der Verbindungen direkt aus dem Internet annimmt. Eine L\u00fccke in Traefik w\u00fcrde nicht am Container enden. Watchtower braucht den Socket ohnehin schreibend, um Container zu ersetzen, nimmt aber keine Verbindungen von au\u00dfen an.<\/p>\n Abhilfe schafft ein Socket-Proxy: ein kleiner Container, der den Socket h\u00e4lt und nur die lesenden Endpunkte der API weiterreicht, die Traefik f\u00fcr die Erkennung der Container braucht. Traefik bekommt dann statt des Sockets die Netzadresse dieses Proxys, und der Docker-Provider l\u00e4sst sich \u00fcber seinen Parameter endpoint darauf richten.<\/p>\n Watchtower folgt dem Tag, mit dem ein Image eingetragen ist, nicht einer Versionsnummer. Ein Container auf latest bekommt deshalb auch den Sprung auf eine neue Hauptversion, sobald diese unter latest erscheint, samt ge\u00e4nderter Konfiguration oder Datenformate. Ein R\u00fcckweg ist nicht vorgesehen: Nach dem Aufr\u00e4umen mit WATCHTOWER_CLEANUP=true liegt das alte Image nicht einmal mehr auf der Platte.<\/p>\n Der Aufbau im Artikel zeigt schon die Gegenma\u00dfnahme: Traefik steht auf traefik:v3.1 und bekommt so nur neue Images unter diesem Tag, also Korrekturen innerhalb von 3.1, aber keinen Sprung auf eine andere Version. Dasselbe lohnt sich f\u00fcr jeden Dienst mit eigener Datenhaltung, etwa eine Datenbank. Bei den Diensten auf latest, im Artikel whoami und Watchtower selbst, ist das Risiko geringer, weil sie keine Daten halten.<\/p>\n Ja, auf das Heimnetz beschr\u00e4nkt: Der Router f\u00fcr das Dashboard hat neben TLS die Middleware dashboard-ip, eine IP-Freigabeliste (ipAllowList), die nur Adressen aus 192.168.0.0\/16 und 10.0.0.0\/8 durchl\u00e4sst. Ohne sie s\u00e4he jeder, der den Hostnamen kennt, alle Router, Dienste und Hostnamen des Heimservers. Soll das Dashboard auch von unterwegs erreichbar sein, kommt eine Middleware f\u00fcr Basic Auth hinzu.<\/p>\n Nur, wenn Let’s Encrypt den Raspberry Pi aus dem Internet auf Port 80 erreicht: Der Hostname muss \u00f6ffentlich auf den Anschluss zeigen, und der Router muss Port 80 an den Pi weiterleiten. An Anschl\u00fcssen ohne eigene \u00f6ffentliche IPv4-Adresse, etwa hinter Carrier-Grade-NAT oder DS-Lite, scheitert das \u00fcber IPv4; es klappt dann nur, wenn der Hostname einen AAAA-Eintrag hat und der Pi \u00fcber IPv6 erreichbar ist. Dieselbe Grenze gilt f\u00fcr Dienste, die nur im Heimnetz erreichbar sein sollen.<\/p>\n F\u00fcr diese F\u00e4lle ist die im Artikel genannte DNS-01-Challenge gedacht. Sie belegt die Kontrolle \u00fcber die Domain mit einem TXT-Eintrag im DNS, braucht keinen offenen Port und erlaubt auch Wildcard-Zertifikate. Daf\u00fcr braucht Traefik Zugangsdaten f\u00fcr die API des DNS-Anbieters, und diese Zugangsdaten sind dann ebenso schutzbed\u00fcrftig wie die acme.json.<\/p>\n<\/div>\n Technische Anleitung zum Aufbau eines vollautomatisierten Raspberry-Pi-Heimservers mit Traefik-v3-Reverse-Proxy, automatischen SSL-Zertifikaten und Watchtower-Image-Updates.<\/p>\n","protected":false},"author":1,"featured_media":14080,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[92632],"tags":[92055,92217,92205,92208,92211,92235],"class_list":["post-528","post","type-post","status-publish","format-standard","hentry","category-tutorials-de-raspberry-pi-de","tag-automation-de","tag-docker-de","tag-homelab-de","tag-raspberry-pi-de","tag-self-hosting-de","tag-tutorial-de"],"yoast_head":"\n\/opt\/containers\/<\/code> aufgebaut werden:<\/p>\nmkdir -p \/opt\/containers\/traefik\/data\nmkdir -p \/opt\/containers\/watchtower\ntouch \/opt\/containers\/traefik\/data\/acme.json\nchmod 600 \/opt\/containers\/traefik\/data\/acme.json<\/code><\/pre>\nacme.json<\/code>, in der die privaten kryptografischen Let’s-Encrypt-Schl\u00fcssel gespeichert werden, muss auf die Dateirechte 600<\/code> beschr\u00e4nkt sein. Traefik verweigert den Start bei zu weit gefassten Lese-\/Schreibberechtigungen.<\/p>\nSchritt 2: Aufbau des dynamischen Traefik-v3-Edge-Routers<\/h3>\n
docker-compose.yml<\/code> unter \/opt\/containers\/traefik\/<\/code> definiert. Diese Konfiguration legt Entrypoints f\u00fcr Port 80 (HTTP) mit obligatorischen Weiterleitungen auf Port 443 (HTTPS) fest, aktiviert automatisierte Let’s-Encrypt-HTTP-01-Challenges und bindet den Docker-Unix-Socket schreibgesch\u00fctzt ein:<\/p>\nservices:\n traefik:\n image: traefik:v3.1\n container_name: traefik\n restart: unless-stopped\n security_opt:\n - no-new-privileges:true\n networks:\n - proxy\n ports:\n - \"80:80\"\n - \"443:443\"\n command:\n - \"--api.dashboard=true\"\n - \"--providers.docker=true\"\n - \"--providers.docker.exposedbydefault=false\"\n - \"--providers.docker.network=proxy\"\n - \"--entrypoints.web.address=:80\"\n - \"--entrypoints.web.http.redirections.entryPoint.to=websecure\"\n - \"--entrypoints.web.http.redirections.entryPoint.scheme=https\"\n - \"--entrypoints.websecure.address=:443\"\n - \"--certificatesresolvers.myresolver.acme.httpchallenge=true\"\n - \"--certificatesresolvers.myresolver.acme.httpchallenge.entrypoint=web\"\n - \"--certificatesresolvers.myresolver.acme.email=admin@lukaswojcik.com\"\n - \"--certificatesresolvers.myresolver.acme.storage=\/data\/acme.json\"\n volumes:\n - \"\/var\/run\/docker.sock:\/var\/run\/docker.sock:ro\"\n - \"\/opt\/containers\/traefik\/data:\/data\"\n labels:\n - \"traefik.enable=true\"\n - \"traefik.http.routers.dashboard.rule=Host(`proxy.lukaswojcik.com`)\"\n - \"traefik.http.routers.dashboard.service=api@internal\"\n - \"traefik.http.routers.dashboard.entrypoints=websecure\"\n - \"traefik.http.routers.dashboard.tls.certresolver=myresolver\"\n - \"traefik.http.routers.dashboard.middlewares=dashboard-ip\"\n - \"traefik.http.middlewares.dashboard-ip.ipallowlist.sourcerange=192.168.0.0\/16, 10.0.0.0\/8\"\n\nnetworks:\n proxy:\n external: true<\/code><\/pre>\nSchritt 3: Erstellung des externen Docker-Proxy-Netzwerks<\/h3>\n
docker network create proxy<\/code><\/pre>\nSchritt 4: Integration von Watchtower f\u00fcr automatisiertes Lifecycle-Management<\/h3>\n
containrrr\/watchtower<\/code> am 17. Dezember 2025 archiviert wurde und keine Fehlerkorrekturen oder Sicherheitsupdates mehr erh\u00e4lt, kommt hier der aktiv gepflegte Fork nickfedor\/watchtower<\/code> zum Einsatz, der ohne Konfigurations\u00e4nderung an dessen Stelle tritt. Das Tool pr\u00fcft konfigurierte Registries alle 24 Stunden (86400 Sekunden), l\u00e4dt neue Images passend zu den aktuellen Tags herunter, beendet veraltete Container-Instanzen kontrolliert und bereinigt ungenutzte Images automatisch:<\/p>\nservices:\n watchtower:\n image: nickfedor\/watchtower:latest\n container_name: watchtower\n restart: unless-stopped\n volumes:\n - \"\/var\/run\/docker.sock:\/var\/run\/docker.sock\"\n environment:\n - WATCHTOWER_CLEANUP=true\n - WATCHTOWER_POLL_INTERVAL=86400\n - WATCHTOWER_INCLUDE_RESTARTING=true\n - WATCHTOWER_ROLLING_RESTART=true<\/code><\/pre>\nSchritt 5: Bereitstellung eines gesicherten Microservices via Labels<\/h3>\n
services:\n whoami:\n image: traefik\/whoami:latest\n container_name: whoami\n restart: unless-stopped\n networks:\n - proxy\n labels:\n - \"traefik.enable=true\"\n - \"traefik.http.routers.whoami.rule=Host(`whoami.lukaswojcik.com`)\"\n - \"traefik.http.routers.whoami.entrypoints=websecure\"\n - \"traefik.http.routers.whoami.tls.certresolver=myresolver\"\n - \"traefik.http.services.whoami.loadbalancer.server.port=80\"\n\nnetworks:\n proxy:\n external: true<\/code><\/pre>\nSchritt 6: Qualit\u00e4tssicherung und System-Audit<\/h3>\n
docker compose up -d<\/code> muss die Infrastruktur systematisch validiert werden:<\/p>\n\n
docker logs -f traefik<\/code> zur Best\u00e4tigung erfolgreicher Let’s-Encrypt-ACME-Challenges und Verifikation, dass die Datei acme.json<\/code> mit g\u00fcltigen RSA-\/ECDSA-Zertifikaten gef\u00fcllt ist.<\/li>\ncurl -I http:\/\/whoami.lukaswojcik.com<\/code>) zur Best\u00e4tigung eines sofortigen 308 Permanent Redirect<\/code>– oder 301 Moved Permanently<\/code>-Headers auf HTTPS.<\/li>\ndocker exec -it watchtower \/watchtower --run-once --monitor-only<\/code> zur Pr\u00fcfung, ob die Zugriffsberechtigungen auf den Docker-Socket korrekt arbeiten. --no-pull<\/code> eignet sich daf\u00fcr nicht: Es unterbindet lediglich das Herunterladen neuer Images, w\u00e4hrend ein lokal bereits vorhandenes neueres Image weiterhin zum Stoppen und Neuerstellen des Containers f\u00fchrt.<\/li>\n<\/ol>\nZusammenfassung und resultierender Mehrwert<\/h2>\n
\n
nickfedor\/watchtower<\/code> an die Stelle des archivierten Originals.<\/li>\n<\/ul>\nFragen und Antworten<\/h2>\n
Macht das :ro am Docker-Socket den Zugriff von Traefik harmlos?<\/h3>\n
Welche Updates spielt Watchtower ein, und wie lassen sich Spr\u00fcnge auf eine neue Hauptversion vermeiden?<\/h3>\n
Ist das Traefik-Dashboard unter proxy.lukaswojcik.com gesch\u00fctzt?<\/h3>\n
Funktioniert die HTTP-01-Challenge an jedem Heimanschluss?<\/h3>\n
Quellen<\/h2>\n
\n