Technology

Traefik V3: Installation, Konfiguration und CrowdSec-Security

Psycho0verload

17. Oktober 2024

32 Min Read

315 Views

0 Comments

3. Grundlage: Netzwerke in Docker

[ihc-hide-content ihc_mb_type=“show“ ihc_mb_who=“3,4″ ihc_mb_template=“1″ ]

Table Of Content

Zugegeben, das Thema, dem ich mich hier kurz widmen möchte, mag für viele Leser weit über das hinausgehen, was sie für ihre Projekte benötigen. Dennoch ist es ein wichtiges Thema, das erklärt, warum ich Dinge so definiere, wie ich sie definiere.

3.1. Private Adressbereiche in IPv4

Die Internet Assigned Numbers Authority (IANA) hat drei Bereiche für private Netzwerke zugewiesen:

Adressbereiche für die Nutzung in privaten Netzwerken sind:

Klasse A: 10.0.0.0 bis 10.255.255.255

Klasse B: 172.16.0.0 bis 172.31.255.255

Klasse C: 192.168.0.0 bis 192.168.255.255

https://www.ibm.com/docs/en/networkmanager/4.2.0?topic=translation-private-address-ranges

Alles außerhalb dieser Bereiche sollte als öffentlich betrachtet werden und könnte daher einem externen Host gehören.

3.2. Adressbereiche in Docker

In der Docker-Dokumentation ist nicht eindeutig ersichtlich, welche Adressbereiche für Docker-Netzwerke verwendet werden. Es gibt jedoch ein Ticket auf GitHub, das die Adressbereiche gut dokumentiert:

The analogous default for local networks (dockerd --default-address-pool) is not currently represented in the documentation. The defaults are as follows (including swarm global networks as well for reference):

Type Default Size Default Pool
global /24 10.0.0.0/8
local /16 172.17.0.0/12
local* /20 192.168.0.0/16

Local networks are allocated from 172.17.0.0/12, and then 192.168.0.0/16 once 172.17.0.0/12 is exhausted.

Github.com

Type	Default Size	Default Pool
global	/24	10.0.0.0/8
local	/16	172.17.0.0/12
local*	/20	192.168.0.0/16

3.3. Verständnis der Netzwerkproblematik

An dieser Stelle benötigen wir ein besseres Verständnis von Netzwerken. Auch wenn dies für manche Leser umfassend sein mag, möchte ich die Problematik dennoch erklären. In den Punkten 3.1 und 3.2 wird gezeigt, dass wir im Bereich der privaten Netzwerke nur bestimmte Adressbereiche nutzen können. Dies ist jedoch kein Problem, da die Bereiche für private Netzwerke sehr groß sind:

172.16.0.0 bis 172.31.255.255: 1.048.544 nutzbare IP-Adressen
192.168.0.0 bis 192.168.255.255: 65.534 nutzbare IP-Adressen

In der Docker-Konfiguration stehen uns am Ende 32 Netzwerke zur Verfügung. Einfach ausgedrückt, sind das 32 Projekte mit eigenen Docker-Netzwerken oder 32 Docker-compose.yml-Dateien. Zwar muss man erst einmal 32 Projekte auf einem einzigen Server haben, aber die Erfahrung zeigt, dass der Adresspool pro Projekt viel größer ist als nötig. Dazu kommt das Problem, wenn Docker-Netzwerke bestehen bleiben, aber nicht mehr genutzt werden. Am Ende möchte man ein Projekt starten und es kommt zu einem Fehler, wie zum Beispiel:

failed to create network project_default: Error response from daemon: cannot create network 6b724a281c242df708982181fe36770258ebe8d22a8d917ec44dc237d11f646a (br-6b724a281c24): conflicts with network 45f702eb80e0310c508217448d923c8d9b303a28a37dcd0d98fd18d8705b3d44 (br-45f702eb80e0): networks have overlapping IPv4

Ein weiterer Punkt, den man wissen muss, ist, dass IP-Adressen innerhalb von Docker immer neu vergeben werden. Dies führt dazu, dass jedes Mal, wenn wir den Traefik-Container neu starten, der Reverse Proxy eine neue IP-Adresse im Docker-Netzwerk erhält. Es kann vorkommen, dass der Traefik-Container nicht dieselbe IP-Adresse wie zuvor erhält. Dadurch funktionieren Projekte, die auf eine feste Erreichbarkeit via IP-Adresse von Traefik angewiesen sind, nicht mehr. Dasselbe gilt für den CrowdSec-Container. Die Hostnamen, die wir innerhalb der Docker-Netzwerke vergeben, funktionieren ebenfalls nur innerhalb dieser Netzwerke und bergen daher Probleme.

Eine lebendige Szene, die das Konzept der Netzwerkprobleme darstellt. Im Hintergrund ist ein komplexes Netzwerk aus miteinander verbundenen Servern, Kabeln und Routern zu sehen, von denen einige rot hervorgehoben sind, um Probleme zu signalisieren. Im Vordergrund arbeitet ein Team von IT-Profis aktiv an der Fehlerbehebung, sie nutzen Laptops, Tablets und Diagnosetools. Auf den Bildschirmen sind Warnsymbole, Fehlermeldungen und unterbrochene Verbindungen zu sehen. Das Setting ist ein modernes Büro mit einer Mischung aus gestressten und konzentrierten Gesichtern der Fachleute, was die Dringlichkeit und Komplexität der Lösung von Netzwerkproblemen unterstreicht. Die Atmosphäre ist intensiv und technisch.

3.4. Lösung

Um die genannten Probleme zu vermeiden, nehmen wir folgende Konfigurationen vor:

Anpassen des Docker-Adressbereichs
Wir verkleinern den Docker-Adress-Pool, um die Adressbereiche pro Docker-Netzwerk überschaubarer zu machen. Statt 65.534 IP-Adressen, die wir wahrscheinlich nie benötigen, reduzieren wir auf 512 verfügbare Adressen. Dies ist auch für einzelne Projekte noch großzügig bemessen. Dabei achten wir darauf, dass sich der Adressbereich nicht mit Mailcow überschneidet, falls Leser dieses Tool verwenden möchten.
Festdefinierter Adressbereich für Traefik und Crowdsec
Wir richten für Traefik und Crowdsec eigene Adressbereiche ein, die außerhalb des Docker-Adressbereichs liegen. Dadurch vermeiden wir Überschneidungen zwischen Projekten und den Netzwerken von Traefik und Crowdsec.
Feste IP-Adressen am Ende des verfügbaren Adressbereichs
Innerhalb ihrer eigenen Netzwerke erhalten die Crowdsec- und Traefik-Container jeweils die letzten beiden Adressen im Netzwerk. So sind sie stabil und fest erreichbar, unabhängig davon, wie viele Projekte dem Netzwerk hinzugefügt werden.

[/ihc-hide-content]