迁移docker-compose到单节点docker-swarm集群

Question

目前我已经实现了一个 flask 应用程序，连接到 mysql 数据库，整个实现运行在一个单独的网络服务器上。

为了避免公开我的应用程序，我在服务器的本地主机接口上运行它，并且我只公开公共接口（端口 443），通过将流量重定向到本地主机接口的 haproxy。

docker-compose和haproxy的配置如下

docker-compose：

version: '3.1'

services:

  db:
    image: mysql:latest
    volumes:
      - mysql-volume:/var/lib/mysql
    container_name: mysql
    ports:
      - 127.0.0.1:3306:3306
    environment:
            MYSQL_ROOT_PASSWORD: xxxxxx

  app:
    #environment:
    #  - ENVIRONMENT=stage
    #  - BUILD_DATETIME=$(date +'%Y-%m-%d %H:%M:%S')
    build:
      context: .
      dockerfile: Dockerfile
      #labels:
      #  - "build_datetime=${BUILD_DATETIME}"
    container_name: stage_backend
    ports:
      - 127.0.0.1:5000:5000

volumes:
  mysql-volume:
    driver: local

示例 haproxy 配置：

global
        log /dev/log    local0
        log /dev/log    local1 notice
        # Default SSL material locations
        ca-base /etc/ssl/certs
        crt-base /etc/ssl/private
defaults
        log     global
        mode    http
        option  httplog
        option  dontlognull
        timeout connect 10s
        timeout client  30s 
        timeout server  30s

frontend test
        bind *:80
        bind *:443 ssl crt /etc/letsencrypt/live/testdomain.com/haproxy.pem alpn h2,http/1.1
        redirect scheme https if !{ ssl_fc }
        mode http
        acl domain_testdomain hdr_beg(host) -i testdomain.com
        use_backend web_servers if domain_testdomain

backend web_servers
        timeout connect 10s
        timeout server 100s
        balance roundrobin
        mode http
        server test_server 127.0.0.1:5000 check

因此 haproxy 通过 systemd（未容器化）作为服务在公共接口上运行，并且容器在本地主机上运行。

这将很快成为生产设置，所以我想部署一个单节点 docker swarm 集群，仅在该服务器内，因为 docker swarm 实施在生产环境中更安全。

我的问题是如何在 docker 群上部署它。

• 将 haproxy 作为 systemd 服务并以某种方式将请求转发到 docker swarm 集群是否有意义？

• 是否更容易/更好地实施，也将 haproxy 容器化并将其作为 docker-compose 服务放入集群中？

如果我采用第二种方法，我怎样才能让它在与应用程序不同的界面上运行（ haproxy --> public, flask & db --> localhost ）

同样，我在这里谈论的是单个服务器，所以这就是为什么我试图分离 .network 接口并且只在公共接口上的 443 上公开 haproxy。

理想情况下，我不想从 haproxy 更改为 nginx 反向代理，因为我很熟悉它以及 ssl 终止如何在那里工作，但我愿意听到任何其他更有意义的实现。

Answer 1

您似乎想得太多了，并且在此过程中丢弃了 docker 提供的安全功能。

首先，docker 为您提供 private.networking 在组合和群模式下开箱即用。 创建一个名为<stack>_default的 implicit.network 并将服务附加到它，并在每个容器中设置 DNS 解析以解析每个服务名称。

因此，假设您的应用程序和数据库没有显式声明 any.networks，则适用以下隐式声明，并且您的应用程序可以直接使用连接字符串mysql://db:3306连接到数据库。

db 容器不需要发布或尝试保护对该端口的访问，只有附加到 [stack_]default.network 的其他容器才能访问。

networks:
  default: # implicit

services:
  app:
    networks:
      default: # implicit
    environment:
      MYSQL: mysql://db:3306 #

  db:
    networks:
      default: # implicit

此时，您可以选择是否将 HAProxy 作为服务运行。 我个人会（做）。 在 swarm 中有一个服务可以处理：80 和：443 入口，进行卸载，然后使用 docker.networks 将流量定向到任何服务上的其他服务：端口处理这些连接。

我使用 Traefik 而不是 HAProxy，因为它可以使用服务标签来动态路由流量，但无论哪种方式，将 HAProxy 作为服务意味着，如果你继续使用它，你可以更轻松地部署 HAProxy 配置更新。