Hands-on Lab

Proxy inverso con Traefik y Docker (enrutado real por Host)

17 de julio de 2026 3 min 1

0 / 8

Chuleta

¿Te ha servido? No te pierdas el próximo lab

0:00 / 0:00

Escribimos un compose.yaml con tres servicios. Traefik monta /var/run/docker.sock como solo lectura (:ro) para poder leer, pero no modificar, el estado de los contenedores; --providers.docker.network=web le dice en qué red buscar los backends cuando hay más de una; y publicamos el 80 (tráfico) y el 8080 (API) al host. nginx-demo y whoami solo llevan traefik.enable=true y una regla Host(`dominio`): esas etiquetas son toda la configuración de enrutado que necesita Traefik.

mkdir -p /root/traefik-lab && cat > /root/traefik-lab/compose.yaml <<'EOF'
services:
  traefik:
    image: traefik:v3.7.8
    command:
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      - "--providers.docker.network=web"
      - "--entrypoints.web.address=:80"
      - "--api=true"
      - "--api.insecure=true"
    ports:
      - "80:80"
      - "8080:8080"
    volumes:
      - "/var/run/docker.sock:/var/run/docker.sock:ro"
    networks:
      - web
  nginx-demo:
    image: nginx:alpine
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.nginx-demo.rule=Host(`nginx.local`)"
      - "traefik.http.routers.nginx-demo.entrypoints=web"
      - "traefik.http.services.nginx-demo.loadbalancer.server.port=80"
    networks:
      - web
  whoami:
    image: traefik/whoami:v1.11.0
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.whoami.rule=Host(`whoami.local`)"
      - "traefik.http.routers.whoami.entrypoints=web"
    networks:
      - web
networks:
  web:
    name: web
EOF

Lo hice yo

Comprobamos que el compose.yaml es sintácticamente correcto antes de arrancar nada: config --quiet lo resuelve internamente y no imprime nada si no encuentra errores, así que el eco final solo se ve si la validación ha pasado.

docker compose -f /root/traefik-lab/compose.yaml config --quiet && echo 'compose.yaml is valid'

Levantamos los tres servicios de una vez. Docker Compose crea primero la red web y luego arranca Traefik, nginx-demo y whoami conectados a ella; Traefik empieza a vigilar el socket en cuanto arranca, así que descubre los otros dos contenedores sin que nosotros hagamos nada más.

docker compose -f /root/traefik-lab/compose.yaml up -d

Lo hice yo

Confirmamos que los tres contenedores están arriba (Up) y que Traefik publica los puertos 80 y 8080 en el host. Si alguno faltara aquí, la ruta correspondiente simplemente no existiría todavía.

docker compose -f /root/traefik-lab/compose.yaml ps --format 'table {{.Name}}\t{{.Image}}\t{{.Status}}\t{{.Ports}}'

Miramos las etiquetas que de verdad lleva el contenedor whoami, tal y como las lee Traefik desde el socket. No hay ningún fichero aparte: traefik.enable y la regla Host(`whoami.local`) viven pegadas al propio contenedor.

docker inspect --format '{{json .Config.Labels}}' "$(docker compose -f /root/traefik-lab/compose.yaml ps -q whoami)" | jq

Lo hice yo

Pedimos http://localhost/ sin especificar ningún Host conocido por Traefik. Como ninguna regla Host(`nginx.local`) o Host(`whoami.local`) coincide con 'localhost', Traefik responde 404 por su cuenta: la petición nunca llega a ningún contenedor backend. Esto deja claro que el enrutado depende por completo de la cabecera Host, no del puerto.

curl -s -o /dev/null -w 'HTTP %{http_code}\n' http://localhost/

Lo hice yo

Ahora enviamos la misma petición pero con la cabecera Host: nginx.local. Traefik encuentra la regla que coincide y reenvía el tráfico al contenedor nginx-demo, que devuelve su página de bienvenida por defecto. Es la prueba de que el enrutado por nombre de host funciona de extremo a extremo.

curl -s -H 'Host: nginx.local' http://localhost/ | grep -i 'Welcome to nginx'

Lo hice yo

Repetimos la prueba con Host: whoami.local. La respuesta ya no es la de nginx: es el propio contenedor whoami describiéndose (su hostname y su IP interna), lo que confirma que Traefik ha enrutado cada dominio a un contenedor distinto usando exactamente las mismas reglas de la misma instancia.

curl -s -H 'Host: whoami.local' http://localhost/ | grep -E 'Hostname|IP'

Lo hice yo

En vez de abrir el dashboard, leemos directamente la API de Traefik en el puerto 8080: /api/http/routers devuelve en JSON cada router que descubrió, con su nombre y su regla. Es la misma información que el panel web dibuja como tabla, y la prueba definitiva de que las etiquetas de nginx-demo y whoami se convirtieron en configuración real.

curl -s http://localhost:8080/api/http/routers | jq -r '.[] | select(.name | contains("@docker")) | "\(.name): \(.rule)"'

Lo hice yo

Terminado el laboratorio, apagamos y borramos los tres contenedores, la red web y cualquier volumen anónimo que hayan creado. down -v deja el sistema exactamente como estaba antes de empezar.

docker compose -f /root/traefik-lab/compose.yaml down -v

Lo hice yo

Comprobamos que no queda ningún contenedor de traefik-lab (el contador debe ser 0) y que la red web ya no aparece en docker network ls: la limpieza fue completa y no queda nada corriendo de fondo.

echo "remaining traefik-lab containers: $(docker ps -a --filter name=traefik-lab --format '{{.Names}}' | wc -l)"; docker network ls --format '{{.Name}}' | grep -x web || echo 'network web removed'

1 vista

¿Te ha sido útil este lab? Puntúalo:

Click to rate this post!

[Total: 0 Average: 0]

Qué hace este laboratorio

Traefik con Docker resuelve un problema concreto: exponer varios contenedores en el puerto 80 sin reservar un puerto distinto para cada uno. En este laboratorio instalas Traefik como proxy inverso con su proveedor Docker, levantas dos backends con etiquetas de enrutado y compruebas con curl que cada nombre de host llega al contenedor correcto.

Etiquetas en vez de ficheros de configuración

Todo se declara en un único compose.yaml, la forma recomendada por la documentación oficial de Docker Compose: Traefik monta el socket de Docker como solo lectura, escucha en el puerto 80 y expone su API en el 8080. Cada backend añade traefik.http.routers.<nombre>.rule=Host(`dominio`) y Traefik recalcula sus rutas en cuanto detecta el contenedor, sin reiniciar nada. El mismo patrón de red por contenedores lo vimos ya en nuestra guía de redes en Docker: bridge, host y personalizadas.

Cómo se relaciona con otras piezas del stack

Si vienes de gestionar los certificados y dominios a mano, compara este enfoque declarativo con nuestra guía para instalar Nginx Proxy Manager con Docker, que resuelve el mismo problema desde una interfaz web. Para supervisar los contenedores que Traefik va a enrutar, puedes apoyarte en nuestro laboratorio de Portainer con Docker Compose. El código fuente de Traefik es público en su repositorio en GitHub. Encuentras más guías de autohospedaje en la categoría Herramientas y el resto de procedimientos reproducibles en nuestros laboratorios prácticos.

Preguntas frecuentes

¿Qué es Traefik?

Traefik es un proxy inverso y balanceador de carga pensado para entornos de contenedores. En lugar de mantener un fichero de rutas a mano, observa el socket de Docker y construye su configuración de forma dinámica a partir de las etiquetas que pones en cada contenedor.

¿Cómo sabe Traefik a qué contenedor enviar una petición?

Cada contenedor lleva una etiqueta traefik.http.routers.<nombre>.rule con una condición, normalmente Host(`dominio`). Cuando llega una petición, Traefik compara la cabecera Host con esas reglas y reenvía el tráfico al contenedor cuya regla coincide.

¿Es seguro usar –api.insecure=true en producción?

No. Ese flag publica el panel y la API de Traefik sin autenticación, algo válido solo para pruebas locales como este laboratorio. En producción se protege con autenticación y, normalmente, sin publicar el puerto de la API al exterior.

¿En qué se diferencia Traefik de Nginx Proxy Manager?

Nginx Proxy Manager se gestiona sobre todo desde su interfaz web, añadiendo cada dominio a mano. Traefik se configura declarativamente con etiquetas en cada contenedor, así que un nuevo servicio queda enrutado en cuanto arranca, sin abrir ningún panel.

Chuleta

mkdir -p /root/traefik-lab && cat > /root/traefik-lab/compose.yaml <<'EOF'
services:
  traefik:
    image: traefik:v3.7.8
    command:
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      - "--providers.docker.network=web"
      - "--entrypoints.web.address=:80"
      - "--api=true"
      - "--api.insecure=true"
    ports:
      - "80:80"
      - "8080:8080"
    volumes:
      - "/var/run/docker.sock:/var/run/docker.sock:ro"
    networks:
      - web
  nginx-demo:
    image: nginx:alpine
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.nginx-demo.rule=Host(`nginx.local`)"
      - "traefik.http.routers.nginx-demo.entrypoints=web"
      - "traefik.http.services.nginx-demo.loadbalancer.server.port=80"
    networks:
      - web
  whoami:
    image: traefik/whoami:v1.11.0
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.whoami.rule=Host(`whoami.local`)"
      - "traefik.http.routers.whoami.entrypoints=web"
    networks:
      - web
networks:
  web:
    name: web
EOF

docker compose -f /root/traefik-lab/compose.yaml up -d

docker inspect --format '{{json .Config.Labels}}' "$(docker compose -f /root/traefik-lab/compose.yaml ps -q whoami)" | jq

curl -s -o /dev/null -w 'HTTP %{http_code}\n' http://localhost/

curl -s -H 'Host: nginx.local' http://localhost/ | grep -i 'Welcome to nginx'

curl -s -H 'Host: whoami.local' http://localhost/ | grep -E 'Hostname|IP'

curl -s http://localhost:8080/api/http/routers | jq -r '.[] | select(.name | contains("@docker")) | "\(.name): \(.rule)"'

docker compose -f /root/traefik-lab/compose.yaml down -v

¿Te ha servido? No te pierdas el próximo lab

Suscríbete a la newsletter

Qué hace este laboratorio

Etiquetas en vez de ficheros de configuración

Cómo se relaciona con otras piezas del stack

Preguntas frecuentes

¿Qué es Traefik?

¿Cómo sabe Traefik a qué contenedor enviar una petición?

¿Es seguro usar –api.insecure=true en producción?

¿En qué se diferencia Traefik de Nginx Proxy Manager?

Chuleta