Projekt 1 - Docker Swarm, Traefik, Nextcloud und einiges mehr

▶ traceroute server.zops.top
traceroute to server.zops.top (161.97.81.52), 64 hops max, 52 byte packets
 1  fritz.box                       (192.168.178.1)  3.114 ms  2.880 ms  2.165 ms
 2  lo1.pop107-asr.ipv4.wtnet.de    (_________)  6.768 ms  4.007 ms  3.719 ms
 3  b107.graf-zahl.ipv4.wtnet.de    (_________)  4.883 ms  6.003 ms  3.956 ms
 4  b379.bert.ipv4.wtnet.de         (_________)  4.780 ms  9.000 ms  5.282 ms
 5  ae60.edge1.hamburg1.level3.net  (62.67.25.117)  5.600 ms  6.018 ms  4.385 ms
 6  * * *
 7  * * *
 8  vmd57207.contaboserver.net      (161.97.81.52)  17.931 ms !Z  17.919 ms !Z  17.092 ms !Z

  docker swarm init

.
|____traefik
| |____providers
| | |____file-provider.toml
| |____traefik.toml
| |____passwordfile
| |____tls.env
| |____Readme.md
| |____acme.json
| |____docker-compose.yaml
|
|____zrezai-dev
| |____dev
| | |____...
| | |____...
| |____Dockerfile.Hugo
| |____docker-compose.yaml
|
|____nexworking
| |____db.env
| |____redis.env
| |____nextcloud.env
| |____docker-compose.yaml
|
|____Taskfile.yml

ARG ALPINE_VERSION=3.12

FROM alpine:${ALPINE_VERSION} as hugobase

ENV HUGO_VERSION=0.74.3

WORKDIR /tmp
VOLUME [ "/tmp" ]

# Install HUGO
RUN set -x \
  && apk add --update wget ca-certificates libstdc++ libc6-compat \
  && wget -q -O hugo.tar.gz https://github.com/gohugoio/hugo/releases/download/v${HUGO_VERSION}/hugo_extended_${HUGO_VERSION}_Linux-64bit.tar.gz \
  && tar xzf hugo.tar.gz hugo \
  && mv hugo /usr/bin \
  ## Cleanup
  && rm -r hugo.tar.gz \
  && apk del wget ca-certificates \
  && rm /var/cache/apk/*

version: "3.8"

services:
  blog_builder:
    image: xcalizorz/hugo:1.0-alpine
    deploy:
      replicas: 1
      placement:
        max_replicas_per_node: 1
      update_config:
        parallelism: 1
        delay: 10s
      restart_policy:
        condition: none
      labels:
        - traefik.enable=false
    volumes:
      - ./dev:/tmp
    command: hugo --minify --baseUrl https://server.zops.top/
    networks:
      - web

    ...
    ..
    .

  ...
  ..
  .

  blog:
    image: nginx:alpine
    deploy:
      replicas: 2
      placement:
        # sinnvoll bei vielen nodes & replicas
        max_replicas_per_node: 2
      resources:
        # es ist besonders wichtig resourcen einzuschränken
        limits:
          cpus: '0.05'
          memory: 50M
      update_config:
        # updates immer nur nacheinander & mit 10 sek. Wartezeit
        parallelism: 1
        delay: 10s
      restart_policy:
        condition: on-failure
        delay: 5s
        max_attempts: 3
        window: 30s
      labels:
        # traefik wird diesen Service beachten/einbinden
        - traefik.enable=true
        # Füge dem Router einen Service hinzu
        - traefik.http.routers.blog.service=blogService
        # Verlange tls-Verschlüsselung
        - traefik.http.routers.blog.tls=true
        # zrezaiResolver wird in der traefik-config definiert
        - traefik.http.routers.blog.tls.certresolver=zrezaiResolver
        # Die Außenwelt greift über Port 443 (websecure) auf diesen Service zu
        - traefik.http.routers.blog.entrypoints=websecure
        # Das Docker Netzwerk wird an traefik weitergegeben
        - traefik.docker.network=web
        # Da wir aktuell die simpelste Form von `nginx` nutzen, veröffentlichen wir nur auf Port 80 - `tls` etc. wird von `traefik` gemacht.
        - traefik.http.services.blogService.loadbalancer.server.port=80
        - traefik.http.services.blogService.loadbalancer.passhostheader=true
        - traefik.http.services.blogService.loadbalancer.sticky.cookie=true
        # Die Domain, die hier her führen soll
        - traefik.http.routers.blog.rule=Host(`server.zops.top`)
        # Alle Middlewares - werden bei Traefik definiert
        - "traefik.http.routers.blog.middlewares=blogHeaders@file, simpleRatelimiter@file, simpleInflightreq@file"
    depends_on:
      - blog_builder
    volumes:
      # Die generierten Daten unter `public` werden an nginx weitergegeben
      - ./dev/public:/usr/share/nginx/html
    networks:
      - web

networks:
  # Es wird ein overlay Netzwerk kreiert
  web:
    driver: overlay
    # Wenn der Name fehlt, bekommt das Netzwerk einen Präfix!
    name: web
    driver_opts:
      # Das Netzwerk wird verschlüsselt
      encrypted: "true"

version: "3.8"

services:
  db:
    image: postgres:alpine
    deploy:
      replicas: 1
      placement:
        max_replicas_per_node: 1
      update_config:
        parallelism: 1
        delay: 10s
      restart_policy:
        condition: on-failure
      labels:
        # traefik soll diesen Service ignorieren
        - traefik.enable=false
    volumes:
      - nc_db:/var/lib/postgresql/data
    env_file:
      # alle environment variablen sind in db.env definiert
      - db.env
    networks:
      - nextcloud

  nc_redis:
    image: redis:alpine
    deploy:
      replicas: 1
      placement:
        max_replicas_per_node: 1
      update_config:
        parallelism: 1
        delay: 10s
      restart_policy:
        condition: on-failure
      labels:
        # traefik soll diesen Service ignorieren
        - traefik.enable=false
    ports:
      - 6379
    volumes:
      - nc_redis:/data
      - /etc/localtime:/etc/localtime:ro
    networks:
      - nextcloud

  nextcloud:
    image: nextcloud:apache
    # für Apache
    hostname: cloud.zops.top
    deploy:
      replicas: 1
      placement:
        max_replicas_per_node: 2
      resources:
        limits:
          cpus: '0.50'
          # Nextcloud hätte gerne 128MB bis 512MB RAM
          memory: 512M
      update_config:
        parallelism: 1
        delay: 10s
      restart_policy:
        condition: on-failure
      labels:
        # traefik soll diesen service beachten
        - traefik.enable=true
        # es soll ein Zertifikat ausgestellt werden
        - traefik.http.routers.nextcloud.service=nextcloudService
        - traefik.http.routers.nextcloud.tls=true
        - traefik.http.routers.nextcloud.tls.certresolver=zrezaiResolver
        # die Außenwelt greift über Port 443 (websecure) auf diesen Service zu
        - traefik.http.routers.nextcloud.entrypoints=websecure
        # das Docker Netzwerk wird an traefik weitergegeben
        - traefik.docker.network=nextcloud
        - traefik.http.services.nextcloudService.loadbalancer.server.port=80
        - traefik.http.services.nextcloudService.loadbalancer.passhostheader=true
        - traefik.http.services.nextcloudService.loadbalancer.sticky.cookie=true
        # Einstellungen damit caldav funktioniert
        - traefik.http.middlewares.nextcloud-caldav.redirectregex.permanent=true
        - traefik.http.middlewares.nextcloud-caldav.redirectregex.regex=^https://(.*)/.well-known/(card|cal)dav
        - traefik.http.middlewares.nextcloud-caldav.redirectregex.replacement=https://$${1}/remote.php/dav/
        # alle Middlewares - werden bei Traefik definiert
        - "traefik.http.routers.nextcloud.middlewares=nextcloud-caldav@docker, nextcloudHeaders@file, nextcloudRatelimiter@file"
        # die Domain, die hier her führen soll
        - traefik.http.routers.nextcloud.rule=Host(`cloud.zops.top`)
    volumes:
      - nextcloud:/var/www/html
    env_file:
      # alle wichtigen env. variablen
      - db.env
      - redis.env
      - nextcloud.env
    depends_on:
      - db
      - nc_redis
    networks:
      - nextcloud

volumes:
  nextcloud:
  nc_db:
  nc_redis:

networks:
  # es wird ein overlay Netzwerk kreiert
  nextcloud:
    name: nextcloud
    driver: overlay
    driver_opts:
      # verschlüsselt
      encrypted: "true"

# db.env

POSTGRES_PASSWORD=SamplePassword123
POSTGRES_DB=db_name
POSTGRES_USER=db_user
POSTGRES_HOST=nextcloud-stack_nc_db

# redis.env

REDIS_HOST=nextcloud-stack_nc_redis

# nextcloud.env

NEXTCLOUD_ADMIN_USER=admin
NEXTCLOUD_ADMIN_PASSWORD=NextcloudPassword
# alle Domänen mit Leerzeichen getrennt
NEXTCLOUD_TRUSTED_DOMAINS=www.cloud.zops.top cloud.zops.top

# wir wollen nur über https kommunizieren
OVERWRITEPROTOCOL=https

# hier kann man noch vielese mehr hinzufügen
## z. B. SMTP Server, um E-Mails zu versenden
## Gerne in die Nextcloud Doku. schauen

version: "3.8"

services:
  traefikRouter:
    image: traefik:v2.2
    depends_on:
      - dockerproxy
    deploy:
      placement:
        constraints:
          # traefik sollte auf der manager node laufen
          - node.role == manager
      # aktuell möchte ich es nur einmal haben
      replicas: 1
      restart_policy:
        condition: on-failure
        delay: 5s
        max_attempts: 3
        window: 30s
      labels:
        - traefik.enable=true
        - traefik.docker.network=traefik-network
        # das Dashboard soll unter `traefik.zops.top` erreichbar sein
        - traefik.http.routers.traefikRouter.rule=Host(`traefik.zops.top`)
        # entrypoint ist `traefik` (Port 8080)
        - traefik.http.routers.traefikRouter.entrypoints=traefik
        # ein Zertifikat soll erstellt werden
        - traefik.http.routers.traefikRouter.tls=true
        - traefik.http.routers.traefikRouter.tls.certresolver=zrezaiResolver
        # api@interal ist ein interner Service, den wir nutzen wollen
        - traefik.http.routers.traefikRouter.service=api@internal
        # Alle middlewares - definition kommt gleich
        - "traefik.http.routers.traefikRouter.middlewares=auth@file, simpleHeaders@file"
        # dummy service für Swarm port detection. Der Port ist egal.
        - traefik.http.services.dummy-svc.loadbalancer.server.port=9999
        # globaler redirect to https
        - "traefik.http.routers.http-catchall.rule=hostregexp(`{host:.+}`)"
        - "traefik.http.routers.http-catchall.entrypoints=web"
        - "traefik.http.routers.http-catchall.middlewares=redirect-to-https"
        - "traefik.http.middlewares.redirect-to-https.redirectscheme.scheme=https"
    ports:
      # wir wollen unter Port 80, 443 und 8080 kontaktiert werden (entrypoints)
      - 80:80
      - 443:443
      - 8080:8080
    volumes:
      # die Konfigurationsdatei für traefik
      - ./traefik.toml:/traefik.toml
      # hierin werden die tls Zertifikate gespeichert
      - ./acme.json:/acme.json
      # unser admin user & gehashtes Password für das Dashbord
      - ./passwordfile:/var/passwordfile
      # extra Konfigurationen (für z. B. Middlewares)
      - ./providers:/providers
    env_file:
      # env. variablen für Cloudflare TLS (nicht nötig, wenn wir HTTP Verifikation nutzen)
      - ./tls.env
    networks:
      - traefik-network
      - web
      - nextcloud

  # ein docker proxy - dieser ist von der Außenwelt nicht erreichbar
  # nur der dockerproxy hat Zugriff auf unseren Docker Socket (Sicherheitsrisiko)
  # Traefik greift über Anfragen auf diesen Container dann auf unser Socket zu
  # Sollte Traefik je angegriffen werden, ist es etwas schwieriger vollen
  # Zugriff auf unseren Docker Socket zu bekommen
  ##
  # Wenn jemand Zugriff auf Docker hat, hat er auch quasi vollen Zugriff
  # auf den Hostserver (!)
  dockerproxy:
    environment:
      CONTAINERS: 1
      NETWORKS: 1
      SERVICES: 1
      TASKS: 1
    image: tecnativa/docker-socket-proxy
    labels:
      - traefik.enable=true
    networks:
      - traefik-network
    ports:
      - 2375
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock

networks:
  # Integration der beiden anderen Netzwerke
  # Traefik kann sonst nicht auf die Services darin zugreifen
  web:
    external: true
  nextcloud:
    external: true
  traefik-network:
    driver: overlay
    name: traefik-network
    driver_opts:
      encrypted: "true"

################################################################
# Global configuration
################################################################
[global]
  checkNewVersion = true
  sendAnonymousUsage = false

################################################################
# Entrypoints configuration
################################################################

# Entrypoints definition
#
# Optional
# Default:
[entryPoints]
  [entryPoints.web]
    address = ":80"

  [entryPoints.websecure]
    address = ":443"

################################################################
# Traefik logs configuration
################################################################

# Traefik logs
# Enabled by default and log to stdout
#
# Optional
#
[log]
  level = "ERROR"

################################################################
# Access logs configuration
################################################################

# Enable access logs
# By default it will write to stdout and produce logs in the textual
# Common Log Format (CLF), extended with additional fields.
#
# Optional
#
[accessLog]

################################################################
# API and dashboard configuration
################################################################

# Enable API and dashboard
[api]

################################################################
# Ping configuration
################################################################

# Enable ping
[ping]

################################################################
# Docker configuration backend
################################################################

# Enable Docker configuration backend
[providers.docker]

  endpoint = "tcp://dockerproxy:2375"
  network = "traefik-network"
  swarmMode = true
  swarmModeRefreshSeconds = "60s"
  useBindPortIP = true
  exposedByDefault = false

# Enable file configuration backend
[providers.file]
  directory = "/providers"

# Enable ACME (Let's Encrypt): automatic SSL.
[certificatesResolvers.zrezaiResolver.acme]
  email = "[email protected]"
  storage = "acme.json"

  # CA server to use.
  # Uncomment the line to use Let's Encrypt's staging server,
  # leave commented to go to prod.
  #
  # caServer = "https://acme-staging-v02.api.letsencrypt.org/directory"
  caServer = "https://acme-v02.api.letsencrypt.org/directory"

  # KeyType to use.
  #
  # Optional
  # Default: "RSA4096"
  #
  # Available values : "EC256", "EC384", "RSA2048", "RSA4096", "RSA8192"
  #
  keyType = "RSA4096"

  # Use a TLS-ALPN-01 ACME challenge.
  #
  # Optional (but recommended)
  #
  # [certificatesResolvers.zrezaiResolver.acme.tlsChallenge]

  # Use a HTTP-01 ACME challenge.
  #
  # Optional
  #
  # [certificatesResolvers.zrezaiResolver.acme.httpChallenge]

    # EntryPoint to use for the HTTP-01 challenges.
    #
    # Required
    #
    # entryPoint = "web"

  # Use a DNS-01 ACME challenge rather than HTTP-01 challenge.
  # Note: mandatory for wildcard certificate generation.
  #
  # Optional
  #
  [certificatesResolvers.zrezaiResolver.acme.dnsChallenge]
    provider = "cloudflare"

CF_API_EMAIL=[email protected]
CF_ZONE_API_TOKEN=
CF_DNS_API_TOKEN=

# Enable Docker configuration backend
[providers.docker]

  endpoint = "tcp://dockerproxy:2375"
  network = "traefik-network"
  swarmMode = true
  swarmModeRefreshSeconds = "60s"
  useBindPortIP = true
  exposedByDefault = false

# Enable file configuration backend
[providers.file]
  directory = "/providers"

[http.middlewares]
  [http.middlewares.simpleRatelimiter.rateLimit]
    average = 5
    period = "1s"
    burst = 50
  [http.middlewares.nextcloudRatelimiter.rateLimit]
    average = 5
    period = "1s"
    burst = 150
  [http.middlewares.simpleInflightreq.inFlightReq]
    amount = 50
  [http.middlewares.auth.basicAuth]
    usersFile = "/var/passwordfile"
    removeheader = true
  [http.middlewares.blogHeaders.headers]
    frameDeny = true
    sslRedirect = true
    accessControlAllowMethods= ["GET"]
    accessControlMaxAge = 100
    addVaryHeader = true
    stsSeconds = 31536000
    stsIncludeSubdomains = true
    stsPreload = true
    contentTypeNosniff = true
    browserXssFilter = true
    referrerPolicy = "no-referrer"
    featurePolicy = "geolocation 'none'; camera 'none'; microphone 'none'"
    contentSecurityPolicy = """
      default-src 'self' https;
      script-src 'self' 'unsafe-inline' cdn.jsdelivr.net ajax.cloudflare.com;
      style-src 'self' 'unsafe-inline' cdn.jsdelivr.net cdnjs.cloudflare.com fonts.googleapis.com;
      font-src 'self' cdnjs.cloudflare.com fonts.googleapis.com fonts.gstatic.com;
      img-src 'self' i.giphy.com;
    """
    [http.middlewares.blogHeaders.headers.customResponseHeaders]
      Expect-CT = "max-age=604800, enforce;"
      X-Permitted-Cross-Domain-Policies = "none"
      server = "Mein Server"
  [http.middlewares.nextcloudHeaders.headers]
    sslRedirect = true
    accessControlMaxAge = 100
    addVaryHeader = true
    stsSeconds = 31536000
    stsIncludeSubdomains = true
    stsPreload = true
    contentTypeNosniff = true
    browserXssFilter = true
    referrerPolicy = "no-referrer"
    featurePolicy = "geolocation 'none'; camera 'none'; microphone 'none'"
    contentSecurityPolicy = """
      default-src 'self' https;
      script-src 'self' 'unsafe-inline' cdn.jsdelivr.net ajax.cloudflare.com;
      style-src 'self' 'unsafe-inline' cdn.jsdelivr.net cdnjs.cloudflare.com fonts.googleapis.com;
      font-src 'self' cdnjs.cloudflare.com fonts.googleapis.com fonts.gstatic.com;
      frame-ancestors 'self';
    """
    [http.middlewares.nextcloudHeaders.headers.customResponseHeaders]
      Expect-CT = "max-age=604800, enforce;"
      X-Permitted-Cross-Domain-Policies = "none"
      X-Frame-Options = "SAMEORIGIN"
      server = "Mein Server"
  [http.middlewares.simpleHeaders.headers]
    frameDeny = true
    sslRedirect = true
    accessControlMaxAge = 100
    addVaryHeader = true
    stsSeconds = 31536000
    stsIncludeSubdomains = true
    stsPreload = true
    contentTypeNosniff = true
    browserXssFilter = true
    referrerPolicy = "no-referrer"
    featurePolicy = "geolocation 'none'; camera 'none'; microphone 'none'"
    contentSecurityPolicy = """
      default-src 'self' https;
    """
    [http.middlewares.simpleHeaders.headers.customResponseHeaders]
      Expect-CT = "max-age=604800, enforce;"
      X-Permitted-Cross-Domain-Policies = "none"
      server = "Mein Server"

  [http.middlewares.auth.basicAuth]
    usersFile = "/var/passwordfile"
    removeheader = true

  htpasswd -nbB USER "PASSWORD" | sed '/^$/d' >> passwordfile

  docker stack deploy -c nexworking/docker-compose.yaml nextcloud-stack

  docker stack deploy -c zrezai-dev/docker-compose.yaml blog-stack

  docker stack deploy -c traefik/docker-compose.yaml traefik-stack

  docker service rm blog-stack_blog_builder