Como Construir uma Infraestrutura Simples e Segura com Traefik, Docker Swarm e Portainer

Se você acabou de contratar uma VPS (Virtual Private Server) e quer hospedar seus projetos de forma profissional, automatizada e sem complicação, este guia é para você.

Neste post, vamos aprender a configurar uma infraestrutura leve, segura e de baixo custo ideal para desenvolvedores independentes ou pequenas equipes. Usaremos:

• Docker Swarm: Para orquestração dos containers (em modo single-node, super leve).

• Traefik (v2.11): Como proxy reverso, com SSL automático via Let's Encrypt e roteamento inteligente.

• Portainer (CE): Para gerenciamento visual de tudo que roda no servidor.

• UFW & Fail2ban: Para garantir que as portas do servidor estejam devidamente trancadas.

🛡 Passo 1: Preparando a VPS (Segurança em Primeiro Lugar)

Antes de rodar qualquer container, precisamos blindar o nosso sistema operacional (usaremos o Ubuntu como base). Uma VPS exposta com configurações padrão é alvo constante de bots de varredura.

1.1 Alterando a Porta SSH Padrão

Por padrão, o SSH escuta na porta 22. Mudar essa porta para um número aleatório (como 1119 ou similar) reduz drasticamente as tentativas automáticas de invasão.

1. Edite o arquivo /etc/ssh/sshd_config:

   sudo nano /etc/ssh/sshd_config

1. Encontre a linha #Port 22 e altere para:

   Port 1119

(Substitua 1119 por uma porta de sua preferência entre 1024 e 65535).

1. Reinicie o serviço SSH:

   sudo systemctl restart ssh

1.2 Configurando o Firewall (UFW)

No Docker Swarm, a comunicação interna do cluster usa portas específicas. Se você não bloquear essas portas externamente, qualquer pessoa poderá tentar se comunicar com o seu Swarm.

Vamos bloquear todo o tráfego de entrada por padrão e abrir apenas as portas essenciais:

# Bloquear conexões de entrada e permitir de saída
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Liberar sua porta SSH customizada
sudo ufw allow 1578/tcp

# Liberar tráfego HTTP e HTTPS público
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Habilitar o firewall
sudo ufw enable

Dessa forma, portas sensíveis do Swarm (como 2377/tcp, 7946/tcp/udp e 4789/udp) ficam completamente isoladas do mundo externo, protegidas dentro do loop de rede do host.

1.3 Protegendo contra Brute Force com Fail2ban

O fail2ban monitora as tentativas de login e bloqueia temporariamente IPs que demonstrem comportamento suspeito.

1. Instale o pacote:

   sudo apt update && sudo apt install fail2ban -y

1. Crie a configuração local em /etc/fail2ban/jail.local:

   [sshd]
   enabled = true
   port = 1578
   filter = sshd
   logpath = /var/log/auth.log
   maxretry = 5
   findtime = 600
   bantime = 3600

1. Reinicie o Fail2ban:

   sudo systemctl restart fail2ban

🐋 Passo 2: Docker & Docker Swarm

Se você ainda não tem o Docker instalado, siga o guia oficial de instalação do Docker.

2.1 Iniciando o Swarm

Com o Docker instalado, transforme a sua VPS em um gerenciador Swarm de nó único com o comando:

docker swarm init --advertise-addr <IP_PUBLICO_DA_SUA_VPS>

2.2 Criando a Rede Overlay Pública

O Traefik precisa de uma rede virtual do tipo overlay para se comunicar de forma segura e privada com os containers de suas aplicações. Vamos criar uma rede chamada public:

docker network create --driver=overlay public

🌐 Passo 3: Apontando o DNS (Pré-requisito Obrigatório)

Antes de criar o arquivo de configuração e subir a nossa stack, precisamos configurar o DNS.

O Traefik foi modelado neste guia para usar o desafio HTTP do Let's Encrypt para gerar os certificados SSL automáticos. Isso significa que, no exato momento em que a stack subir, o Let's Encrypt tentará acessar o seu servidor web através do domínio especificado (ex: traefik.exemplo.com.br e portainer.exemplo.com.br).

📦 Passo 4: O arquivo de Stack (docker-compose.yml)

Agora vamos criar o arquivo de configuração que instalará o Traefik e o Portainer ao mesmo tempo.

Crie um arquivo chamado traefik-portainer-stack.yml e adicione o conteúdo abaixo.

(Atenção: substitua exemplo.com.br pelo seu domínio real e seu-email@provedor.com pelo seu e-mail real para a geração dos certificados SSL).

version: '3.8'

services:
  traefik:
    image: traefik:v2.11
    ports:
      - "80:80"
      - "443:443"
    command:
      # Ativa o Dashboard do Traefik de forma segura
      - "--api.dashboard=true"
      - "--api.insecure=false"
      # Provedor Docker em modo Swarm
      - "--providers.docker=true"
      - "--providers.docker.swarmMode=true"
      - "--providers.docker.exposedByDefault=false"
      # Configuração dos Entrypoints
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      # Redirecionamento global automático de HTTP para HTTPS
      - "--entrypoints.web.http.redirections.entrypoint.to=websecure"
      - "--entrypoints.web.http.redirections.entrypoint.scheme=https"
      # Configuração de Certificados SSL Automáticos (Let's Encrypt)
      - "--certificatesresolvers.myresolver.acme.email=seu-email@provedor.com"
      - "--certificatesresolvers.myresolver.acme.storage=/letsencrypt/acme.json"
      - "--certificatesresolvers.myresolver.acme.httpchallenge=true"
      - "--certificatesresolvers.myresolver.acme.httpchallenge.entrypoint=web"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - traefik-letsencrypt:/letsencrypt
    networks:
      - public
    deploy:
      mode: replicated
      replicas: 1
      placement:
        constraints: [node.role == manager]
      labels:
        - "traefik.enable=true"
        - "traefik.docker.network=public"
        # Rota para acessar o painel do Traefik com SSL automático
        - "traefik.http.routers.traefik-dashboard.rule=Host(`traefik.exemplo.com.br`)"
        - "traefik.http.routers.traefik-dashboard.entrypoints=websecure"
        - "traefik.http.routers.traefik-dashboard.tls=true"
        - "traefik.http.routers.traefik-dashboard.tls.certresolver=myresolver"
        - "traefik.http.routers.traefik-dashboard.service=api@internal"
        # Autenticação Básica (BasicAuth) para o Painel do Traefik
        - "traefik.http.routers.traefik-dashboard.middlewares=traefik-dashboard-auth"
        # Usuário: admin | Senha gerada em hash Bcrypt (Substitua pelo seu próprio hash gerado!)
        - "traefik.http.middlewares.traefik-dashboard-auth.basicauth.users=admin:$$2y$$05$$ck9kC76LmcHTJScbPmRUdOrAgDPxqsWLI.llY6DLGbY273hPsl/MW"

  portainer:
    image: portainer/portainer-ce:latest
    command: -H unix:///var/run/docker.sock
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - portainer_data:/data
    networks:
      - public
    deploy:
      mode: replicated
      replicas: 1
      placement:
        constraints: [node.role == manager]
      labels:
        - "traefik.enable=true"
        - "traefik.docker.network=public"
        # Rota para acessar a interface web do Portainer
        - "traefik.http.routers.portainer.rule=Host(`portainer.exemplo.com.br`)"
        - "traefik.http.routers.portainer.entrypoints=websecure"
        - "traefik.http.routers.portainer.tls=true"
        - "traefik.http.routers.portainer.tls.certresolver=myresolver"
        # Aponta para a porta interna 9000 do Portainer
        - "traefik.http.services.portainer.loadbalancer.server.port=9000"

networks:
  public:
    name: public
    driver: overlay

volumes:
  portainer_data:
  traefik-letsencrypt:

🔒 Passo 5: Entendendo as Configurações de Segurança

4.1 Segurança do Dashboard do Traefik

Por padrão, muitos tutoriais ativam o dashboard em modo inseguro (--api.insecure=true) exposto diretamente na porta 8080. Evite isso.

No nosso arquivo Compose:

1. Desabilitamos o modo inseguro (--api.insecure=false).

2. Criamos uma rota segura que aponta para o serviço interno do Traefik (api@internal).

3. Adicionamos um middleware de autenticação (basicauth.users).

htpasswd -nB admin

4.2 Isolamento de Serviços Internos (ex: Bancos de Dados)

Uma das grandes vantagens desta arquitetura é o isolamento de rede.

• O Traefik e o Portainer precisam estar conectados na rede public para responder à internet.

• No entanto, serviços internos como bancos de dados (PostgreSQL, Redis, MySQL) nunca devem expor suas portas públicas no arquivo Compose (não use a diretiva ports neles).

• Coloque-os em redes internas isoladas (ex: dbnetwork). O Traefik não precisará conhecê-los diretamente, mantendo-os seguros contra varreduras de portas externas.

4.3 A Exposição do Socket do Docker (docker.sock)

O Docker Socket (/var/run/docker.sock) é o canal de controle do Docker. Montar esse arquivo dentro dos containers do Traefik e do Portainer é necessário para que eles saibam quais containers estão subindo/descendo.

No entanto, isso traz um risco: se algum desses containers sofrer uma invasão por vulnerabilidade de software, o invasor terá acesso total (root) à sua VPS.

• Boa prática recomendada: Para ambientes de alta segurança, utilize um proxy do Docker socket (como tecnativa/docker-socket-proxy). Ele atua como um firewall para o socket do Docker, liberando apenas requisições de leitura (GET) para o Traefik, impedindo que requisições de escrita/deleção sejam feitas por aplicações de borda.

🛠 Passo 6: Implantando e Operando a Infraestrutura

Com tudo configurado, envie sua stack para o Docker Swarm. No diretório onde salvou o arquivo traefik-portainer-stack.yml, execute:

docker stack deploy -c traefik-portainer-stack.yml proxy

Comandos de Operação Rápidos

• Verificar se os serviços subiram corretamente:

  docker stack services proxy

(Você deverá ver 1/1 réplicas ativas para o Traefik e o Portainer).

• Olhar os logs do Traefik em tempo real:

  docker service logs -f proxy_traefik

  touch acme.json && chmod 600 acme.json

• Acessar os painéis:

• Acesse https://portainer.exemplo.com.br para criar seu usuário administrador inicial do Portainer.

• Acesse https://traefik.exemplo.com.br (insira o usuário admin e a senha definida no passo anterior) para acompanhar as rotas ativas de seus containers.

Conclusão

Pronto! Você acaba de construir uma infraestrutura extremamente robusta, automatizada e pronta para produção em uma única VPS. A partir de agora, qualquer novo container de site ou API que você subir no Swarm poderá se conectar à rede public e usar labels do Traefik para ganhar um subdomínio e um certificado SSL automático em poucos segundos, sem precisar mexer em arquivos de configuração do Nginx ou reiniciar serviços.