آموزش راه‌اندازی Traefik با Let’s Encrypt و HTTP/3 در اوبونتو و دبیان

کنسول یا راه دسترسی مستقلی نگه دارید. اگر Traefik، یکی از دو سرویس نام‌برده، فایل اجرایی مقصد یا پوشه‌های انتخابی متعلق به کار دیگری است، ادامه ندهید. سیستم‌عامل، معماری، ساعت و پورت‌های در حال استفاده را ببینید. این راهنما فقط amd64 و arm64 لینوکس را پوشش می‌دهد. پیام نبودن پوشه در سرور تازه طبیعی است؛ چیزی را برای خالی‌کردن مسیر حذف نکنید.

cat /etc/os-release
dpkg --print-architecture
timedatectl status
systemctl list-unit-files 'traefik*' 'academy-traefik-origin*'
sudo ss -lntup
ls -l /usr/local/bin/traefik
sudo ls -ld '/etc/traefik-academy' '/var/lib/traefik-academy' '/srv/traefik-academy-origin' '/var/backups/traefik-academy'

این بررسی چیزی نمی‌سازد و مسیر ریشه، میان‌بر خانه، پوشهٔ موجود و مسیرهای تودرتو را رد می‌کند. مالکیت و لینک‌های نمادین پوشه‌های والد را هم بررسی کنید؛ ظاهر مسیر، مالکیت واقعی فایل‌سیستم را ثابت نمی‌کند. برای عبور از خطا، پوشهٔ موجود را پاک نکنید.

sudo bash -eu <<'CHECK'
paths=('/etc/traefik-academy' '/var/lib/traefik-academy' '/srv/traefik-academy-origin' '/var/backups/traefik-academy')
for a in "${paths[@]}"; do
  [[ "$a" = /* && "$a" != / && ! -e "$a" && ! -L "$a" ]]
  for b in "${paths[@]}"; do
    [[ "$a" = "$b" ]] && continue
    case "$a/" in "$b/"*) printf 'Nested directory rejected\n' >&2; exit 1;; esac
  done
done
printf 'Directory preflight passed\n'
CHECK

در ارائه‌دهندهٔ DNS، رکورد A دامنهٔ app.example.com را روی 203.0.113.10 بگذارید؛ مسیر مستقیم و بدون پروکسی CDN باشد. رکورد AAAA ناخواسته را از روند عادی تغییرات خود اصلاح کنید. از دستگاهی خارج از سرور، رکوردهای A، AAAA و CAA را بررسی کنید؛ اگر CAA دارید، باید letsencrypt.org را مجاز کند. در فایروال ارائه‌دهنده و فایروال فعلی میزبان، ورودی TCP/80، TCP/443 و UDP/443 را مجاز کنید و دسترسی مدیریت و SSH را نگه دارید. DNS به resolver مجاز و HTTPS خروجی برای دریافت فایل و ACME هم لازم است. قوانین را خالی نکنید و فایروال تازه‌ای را کورکورانه فعال نکنید. پورت‌های 8081 و 8080 عمومی نمی‌شوند. شنوندهٔ محلی، دسترسی از اینترنت را ثابت نمی‌کند.

dig +short A app.example.com
dig +short AAAA app.example.com
dig CAA app.example.com

بسته‌ها را از مخزن امضاشدهٔ توزیع انتخابی بگیرید. ابزارهای دریافت HTTPS، بررسی هش، آرشیو، عیب‌یابی و سرویس فایل آزمایشی Python از همین بسته‌ها تأمین می‌شوند. این مرحله ارتقای کامل سیستم‌عامل نیست. پیش‌فرض بررسی‌شده Ubuntu 26.10 است؛ گزینه‌های LTS و Debian هم از همان فایل اجرایی رسمی Traefik استفاده می‌کنند. پشتیبانی سیستم‌عامل با نگهداری نسخهٔ Traefik دو مسئولیت جداست.

sudo apt-get update
sudo apt-get install --no-install-recommends ca-certificates curl tar coreutils python3 dnsutils openssl iproute2

در بررسی ۲۰ اکتبر ۲۰۲۶، نسخهٔ پایدار جاری 3.7.15 است و اصلاحات امنیتی دارد. نسخه را مشخص کرده‌ایم تا دریافت قابل تکرار باشد؛ برای به‌روزرسانی بعدی، هشدارهای امنیتی و راهنمای مهاجرت را دوباره بخوانید. دریافت با کاربر عادی انجام می‌شود، هش همان آرشیو با فایل رسمی مقایسه می‌شود و فقط فایل اجرایی نصب می‌شود. چون آرشیو و هش از یک release با HTTPS می‌آیند، این کنترل خرابی فایل است و جای تأیید مستقل امضا را نمی‌گیرد. اگر سازمان شما تأیید جداگانهٔ بسته می‌خواهد، همان روند را انجام دهید. خروجی دانلود را مستقیم به شل root ندهید.

bash -eu <<'DOWNLOAD'
version=3.7.15
case "$(dpkg --print-architecture)" in
  amd64) arch=amd64;; arm64) arch=arm64;; *) echo 'Unsupported architecture' >&2; exit 1;;
esac
work=$(mktemp -d)
cd "$work"
archive="traefik_v${version}_linux_${arch}.tar.gz"
base="https://github.com/traefik/traefik/releases/download/v${version}"
curl --fail --location --proto '=https' --tlsv1.2 -o "$archive" "$base/$archive"
curl --fail --location --proto '=https' --tlsv1.2 -o checksums.txt "$base/traefik_v${version}_checksums.txt"
awk -v name="$archive" '$2 == name {print}' checksums.txt > selected.sha256
test "$(wc -l < selected.sha256)" -eq 1
sha256sum --check selected.sha256
tar -xzf "$archive" traefik
test ! -e /usr/local/bin/traefik
sudo install -o root -g root -m 0755 traefik /usr/local/bin/traefik
/usr/local/bin/traefik version
printf 'Retained download directory: %s\n' "$work"
DOWNLOAD