1. Đặt vấn đề: Thách thức định tuyến trong hạ tầng Docker Swarm Multi-VPS

Trong kỷ nguyên điện toán đám mây, việc vận hành ứng dụng trên các cụm Docker Swarm Multi-VPS đã trở thành giải pháp phổ biến giúp doanh nghiệp đảm bảo tính sẵn sàng cao (High Availability) và khả năng mở rộng linh hoạt. Tuy nhiên, khi số lượng container tăng lên và phân tán trên nhiều máy chủ vật lý khác nhau, bài toán định tuyến yêu cầu một giải pháp tối ưu hơn cấu hình thủ công truyền thống.

Các giải pháp Reverse Proxy cổ điển như Nginx hoặc HAProxy thường yêu cầu người quản trị phải cập nhật file cấu hình và reload lại hệ thống mỗi khi có service mới được deploy hoặc thay đổi IP. Điều này không chỉ gây gián đoạn dịch vụ (dù là nhỏ nhất) mà còn tiềm ẩn rủi ro sai sót do con người. Đây chính là lúc Traefik v3 khẳng định vị thế là một giải pháp thay thế hoàn hảo.

2. Tại sao chọn Traefik v3 cho Docker Swarm?

Traefik (đặc biệt là phiên bản v3 mới nhất) được thiết kế chuyên biệt cho các hệ thống Cloud-Native. Khác với các công cụ khác, Traefik sở hữu những ưu điểm vượt trội phù hợp với môi trường Docker Swarm:

Auto-Discovery (Tự động phát hiện): Traefik kết nối trực tiếp với Docker Socket (hoặc qua TCP) để lắng nghe các sự kiện của cụm Swarm. Khi một service mới được khởi chạy với các labels phù hợp, Traefik sẽ tự động tạo route định tuyến mà không cần restart.
Hỗ trợ Native Docker Swarm: Traefik v3 cải tiến hiệu năng định tuyến, phân biệt rõ ràng giữa các service chạy ở chế độ replicated hoặc global.
Tích hợp sẵn Let's Encrypt: Tự động cấp phát và gia hạn chứng chỉ SSL/TLS miễn phí cho toàn bộ các tên miền phụ (subdomain) cấu hình qua label.
Hỗ trợ giao thức hiện đại: Sẵn sàng cho HTTP/3, gRPC, và các tiêu chuẩn bảo mật mới nhất.

3. Mô hình kiến trúc hệ thống

Trong bài viết này, chúng ta sẽ triển khai mô hình gồm ít nhất 3 VPS kết nối thành một cụm Docker Swarm (1 Node Manager và 2 Node Workers):

Kiến trúc cơ bản: Người dùng -> Internet -> Traefik v3 (Chạy trên Manager Node) -> Overlay Network -> Các Service ứng dụng (Chạy trên các Worker Nodes).

Traefik sẽ lắng nghe ở port 80 (HTTP) và 443 (HTTPS) trên các node công khai, sau đó dựa vào cấu hình để chuyển hướng traffic vào mạng nội bộ (Overlay Network) của Docker Swarm.

4. Các bước chuẩn bị tiền đề

Trước khi tiến hành cấu hình Traefik, hệ thống của bạn cần đảm bảo các điều kiện kiên quyết sau:

Cụm Docker Swarm đã được thiết lập chính xác và các node ở trạng thái Ready.
Đã cấu hình bản ghi DNS (A Record hoặc Wildcard) trỏ tên miền về IP của các VPS thuộc cụm Swarm.
Tạo một mạng dùng chung dạng Overlay Network để Traefik có thể giao tiếp với các service khác:

Bạn có thể tạo mạng này bằng lệnh: docker network create --driver=overlay traefik-public

5. Chi tiết file cấu hình Traefik v3 (docker-compose.yml)

Dưới đây là file cấu hình docker-compose.yml chuẩn hóa để deploy Traefik v3 lên Docker Swarm dưới dạng một global service hoặc ép buộc chạy trên Manager Node để có quyền truy cập Docker API.

version: "3.8"

services:
  traefik:
    image: traefik:v3.0
    command:
      - "--providers.docker=true"
      - "--providers.docker.swarmMode=true"
      - "--providers.docker.exposedbydefault=false"
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      - "--certificatesresolvers.myresolver.acme.tlschallenge=true"
      - "--certificatesresolvers.myresolver.acme.email=admin@yourdomain.com"
      - "--certificatesresolvers.myresolver.acme.storage=/letsencrypt/acme.json"
    ports:
      - target: 80
        published: 80
        protocol: tcp
        mode: host
      - target: 443
        published: 443
        protocol: tcp
        mode: host
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - traefik-certificates:/letsencrypt
    networks:
      - traefik-public
    deploy:
      placement:
        constraints:
          - node.role == manager
      labels:
        - "traefik.enable=true"
        # Dashboard Traefik
        - "traefik.http.routers.dashboard.rule=Host(`traefik.yourdomain.com`)"
        - "traefik.http.routers.dashboard.service=api@internal"
        - "traefik.http.routers.dashboard.entrypoints=websecure"
        - "traefik.http.routers.dashboard.tls.certresolver=myresolver"
        - "traefik.http.services.dashboard.loadbalancer.server.port=8080"

volumes:
  traefik-certificates:

networks:
  traefik-public:
    external: true

Giải thích các tham số cốt lõi trong cấu hình Traefik v3:

--providers.docker.swarmMode=true: Kích hoạt chế độ Swarm chuyên biệt, giúp Traefik nhận biết các tác vụ thông qua các service thay vì từng container riêng lẻ.
mode: host tại phần ports: Đảm bảo Docker Swarm không định tuyến qua Routing Mesh lớp 4 làm mất IP gốc của client (Client IP Preservation), rất quan trọng cho việc phân tích log bảo mật.
/var/run/docker.sock: Cấp quyền cho Traefik đọc thông tin metadata của cụm Swarm nhằm thực hiện tính năng Auto-Discovery.

6. Triển khai Service mẫu để kiểm tra tính năng Auto-Discovery

Để minh chứng cho khả năng tự động phát hiện service của Traefik v3, chúng ta hãy deploy một ứng dụng web mẫu (ví dụ Nginx static hoặc một ứng dụng Node.js) sử dụng các labels đặc trưng của Traefik.

version: "3.8"

services:
  my-web-app:
    image: nginxdemos/hello
    networks:
      - traefik-public
    deploy:
      replicas: 3
      labels:
        - "traefik.enable=true"
        - "traefik.http.routers.mywebapp.rule=Host(`app.yourdomain.com`)"
        - "traefik.http.routers.mywebapp.entrypoints=websecure"
        - "traefik.http.routers.mywebapp.tls.certresolver=myresolver"
        - "traefik.http.services.mywebapp.loadbalancer.server.port=80"

networks:
  traefik-public:
    external: true

Ngay sau khi bạn thực thi lệnh docker stack deploy -c app.yml my-app, Traefik v3 sẽ nhận biết được sự kiện này, tự động gửi yêu cầu cấp SSL tới Let's Encrypt cho tên miền app.yourdomain.com, và bắt đầu cân bằng tải (Load Balancing) traffic tới 3 replica của ứng dụng đang chạy rải rác trên các VPS khác nhau.

7. Những lưu ý bảo mật quan trọng khi vận hành thực tế

Khi đưa hệ thống này vào môi trường sản xuất (Production), doanh nghiệp cần lưu ý các yếu tố bảo mật sau để tránh rò rỉ dữ liệu:

Bảo vệ Docker Socket: Việc mount trực tiếp docker.sock tiềm ẩn nguy cơ bảo mật nếu container Traefik bị xâm nhập. Hãy cân nhắc sử dụng công cụ như Tecnativa/docker-socket-proxy để giới hạn quyền truy cập chỉ cho phép đọc (Read-only) và chặn các lệnh can thiệp sâu hệ thống.
Cấu hình TLS chặt chẽ: Định nghĩa rõ ràng phiên bản TLS tối thiểu (khuyến nghị TLS 1.2 hoặc TLS 1.3) trong cấu hình động của Traefik để loại bỏ các thuật toán mã hóa lỗi thời.
Giới hạn quyền truy cập Dashboard: Luôn sử dụng Middleware như BasicAuth hoặc tích hợp với các hệ thống xác thực tập trung (OAuth2/OIDC) cho trang quản trị Traefik Dashboard.

8. Lời kết

Cấu hình Traefik v3 làm Reverse Proxy cho cụm Docker Swarm Multi-VPS là một bước đi chiến lược giúp tự động hóa tối đa quy trình DevOps của doanh nghiệp. Khả năng tự động phát hiện service mạnh mẽ, quản lý SSL tự động và kiến trúc tối ưu cho cloud-native giúp giảm thiểu gánh nặng vận hành cho đội ngũ kỹ thuật, đảm bảo hệ thống luôn hoạt động ổn định và sẵn sàng mở rộng bất cứ lúc nào.

Hướng Dẫn Cấu Hình Traefik v3 Làm Reverse Proxy Tự Động Phát Hiện Service Trên Docker Swarm Multi-VPS