traefik 可在 linux 上替代 nginx 作反向代理和 https 入口，但无法完全取代其静态文件服务、fastcgi 和 rewrite 等传统 web 服务器功能；它专为容器化环境设计，强调动态路由、自动服务发现与 acme 证书管理。
Traefik 在 Linux 上能直接替代 Nginx 作反向代理和 HTTPS 入口，但不能完全替代其静态文件服务、FastCGI 或 rewrite 规则等传统 Web 服务器能力。 它更适合容器化环境下的动态路由与自动化证书管理，而非替换 Nginx 所有角色。
traefik.yml 配置文件必须显式启用 providers.docker
很多用户启动后发现 Traefik 根本不识别容器里的服务，Dashboard 里 router/service 为空——根本原因是没开 provider。Docker 模式下 providers.docker 是开关，不是可选项。
- 必须挂载
/var/run/docker.sock，否则无法监听容器事件 - 若 Docker 使用 rootless 模式，需改用
providers.docker.endpoint=unix:///run/user/1001/docker.sock并确认权限 - 默认只监听
bridge网络，跨网络（如自定义traefik-net）需加providers.docker.network=traefik-net - 容器 label 中的
traefik.http.routers.myapp.rule必须是合法表达式，比如Host(`app.example.com`)，漏掉反引号或写成双引号会静默失败
HTTPS 自动签发必须配好 acme.json 权限和 entryPoints
看到 acme.json: permission denied 或 Dashboard 显示 “No certificate found” 不代表配置错，大概率是文件权限或入口点冲突。
-
acme.json必须由 Traefik 进程创建，首次运行前不能手动 touch，且权限应为600（chmod 600 acme.json） -
entryPoints.websecure必须声明address: ":443"，且宿主机 443 端口未被占用（Nginx/Apache 常占着） -
httpChallenge要求entryPoints.web存在并监听 80 端口，且该端口必须对外可访问（云服务器要开安全组） - Let’s Encrypt 生产环境建议用
dnsChallenge，避免因 80 端口不可达导致申请失败
traefik dashboard 默认不暴露公网，且 --api.insecure=true 仅限测试
很多人以为加了 --api.insecure=true 就能通过 http://localhost:8080 访问 Dashboard，结果 curl 返回 404 或连接拒绝——Traefik v2.9+ 默认关闭所有 API 路由，除非显式配置 router。
- 必须添加 label：
traefik.http.routers.api.rule=Host(`traefik.local`)，并确保该域名能解析到本机 - 若想用 IP 直接访问，得写
Host(`192.168.1.100`)，注意不能用Host(`localhost`)（浏览器同源策略限制） - 生产环境绝不要用
--api.insecure=true，应配合middlewares.auth-basic+usersFile做基础认证 - Dashboard 的
/api/http/routers接口返回空数组？先检查对应 router 是否启用了entryPoints: ["websecure"]，否则不会出现在 HTTPS 路由列表中
真正容易被忽略的是：Traefik 的路由匹配是「全量重载」而非「增量更新」。当你删掉一个容器，它不会立刻从路由表中移除，而是等下一个 provider 事件触发（如新容器启动）才刷新。这意味着故障排查时看到的路由状态，可能滞后于实际容器状态几秒到几十秒。
