traefik在linux容器化环境中实现动态路由和自动证书续签的核心是标签驱动服务发现与acme协议闭环：通过docker.sock监听容器事件，用label定义路由规则（如host、tls、certresolver），结合dns-01挑战（推荐cloudflare等提供商）自动完成证书申请与续期，acme.json需600权限且挂载为volume，无需重启或改配置即可新增https服务。
在Linux容器化环境中用Traefik实现动态路由和自动证书续签，核心是“标签驱动发现 + ACME协议闭环”。不需要改配置、不重启服务，新增容器打几个label就自动上线并配好HTTPS。
一、基础网络与权限准备
Traefik必须能感知Docker状态，并与业务容器互通：
- 创建专用桥接网络：
docker network create traefik-net - Traefik容器必须挂载
/var/run/docker.sock:/var/run/docker.sock:ro，否则无法监听容器启停事件 - 若非root运行，需加
--cap-add=net_bind_service，否则无法绑定80/443端口 - 确保服务器80和443端口对外可达（云平台开安全组，家用环境做端口转发）
二、动态路由：靠label自动识别服务
Traefik通过容器label生成路由规则，无需修改自身配置文件：
- 业务容器必须加入
traefik-net网络，并声明container_name或使用service名作为后端标识 - 关键label示例（以域名
app.example.com为例）：traefik.http.routers.app.rule=Host(`app.example.com`) traefik.http.routers.app.entrypoints=websecure traefik.http.routers.app.tls=true traefik.http.routers.app.tls.certresolver=le-dns traefik.http.services.app.loadbalancer.server.port=8080
- 若容器监听非80端口（如8080），必须显式指定
server.port，否则Traefik默认连80会失败
三、自动化证书续签：推荐DNS-01挑战
HTTP-01依赖公网80端口暴露，内网或NAT后易失败；DNS-01更稳定，适合大多数场景：
- 在Traefik启动参数中启用DNS挑战，例如Cloudflare：
--certificatesresolvers.le-dns.acme.dnsChallenge.provider=cloudflare --certificatesresolvers.le-dns.acme.email=you@example.com --certificatesresolvers.le-dns.acme.dnsChallenge.resolvers=1.1.1.1:53
- 设置环境变量提供API密钥：
CLOUDFLARE_API_TOKEN=xxx（权限需含Zone:Read、DNS:Edit） -
acme.json必须挂载为volume且权限为600：chmod 600 acme.json，否则Traefik拒绝加载 - 证书默认每24小时检查一次续期，无需额外定时任务
四、验证与排错要点
常见问题往往出在权限、网络或配置耦合上：
- 日志出现
timeout during http challenge→ 检查80端口是否真能被Let's Encrypt访问（不是本地能curl通就算数） - 报
permissions too open→ 确认acme.json属主为Traefik运行用户，且stat -c "%a %U" acme.json显示600及对应用户 - 新容器没被识别 → 查Traefik日志是否有
Configuration received from provider docker，确认network、label拼写、docker.sock挂载均正确 - 证书未生效 → 路由label里必须有
tls.certresolver且名称与certificatesresolvers定义一致
