1. 单机 Docker 里为什么需要 Traefik 反向代理如果你在一台机器上跑了三四个容器服务每个都映射不同端口时间一长自己都记不清哪个端口对应哪个服务。更麻烦的是想让外部只通过一个入口访问还得手动改 Nginx 配置、reload容器一多就乱。Traefik 反向代理加负载均衡器解决的正是这个问题它监听 Docker 事件容器一起来就自动注册路由容器一销毁就自动摘除基本不用手写 upstream。我这次的目标很明确单机 Docker 环境用 Traefik 做统一入口把本地多个容器服务按域名暴露出去同时演示怎么把需要调用大模型 API 的服务通过 TaoToken 统一 Key 通道接进来。TaoToken 是一个聚合模型 API 通道官网在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 它把不同模型的调用收敛成一套 Base URL 和 Key适合放在 Traefik 后面的容器里统一出网。适合谁看手上有 Linux 小主机或云服务器、装了 Docker、想给本地服务加一层反向代理和负载均衡的人。不需要你懂 KubernetesTraefik 在单机 Docker 下用 label 就能跑起来。下面所有配置我都实测过命令可以直接复制。先说清楚整体结构Traefik 容器负责监听 80 端口和 8080 管理面板它挂载 docker.sock 来感知其他容器业务容器通过 label 声明自己的域名和端口所有容器在同一个自定义网络 traefik-net 里通信。这样外部访问 web1.abc.com 时请求先到 Traefik再由它转发到对应容器。2. TaoToken 统一 Key 通道的前置准备在讲 Traefik 配置之前先把 API 通道这块理清楚因为后面业务容器里会用到。TaoToken 的作用是把模型调用统一到一个入口你只需要一个 Key 和一套 Base URL不用为每个模型分别记地址。对单机 Docker 场景来说好处是容器里的环境变量可以统一换模型只改 Model ID不用动网络配置。第一步是拿 Key。打开 https://taotoken.net/api-keys 登录后创建一个 API Key复制保存好后面配置里用sk-开头的字符串就是它。注意这个 Key 只显示一次丢了就重新建。第二步是确认 Base URL。TaoToken 的 API 地址是 https://taotoken.net/api 注意这里不带任何查询参数直接作为 OpenAI 兼容接口的 base_url 使用。也就是说如果你用 OpenAI SDK填的 base_url 就是它SDK 会自动拼/v1/chat/completions这类路径。第三步是选 Model ID。在模型对话页面 https://taotoken.net/models 可以看到当前可用的模型列表每个模型有一个 ID比如常见的对话模型、代码模型都有对应标识。你把这个 ID 填到容器环境变量里即可。这里有个容易踩的坑很多人把 Base URL 写成带/v1的地址结果 SDK 又拼一次/v1变成/v1/v1/...报 404。正确做法是 base_url 只写到https://taotoken.net/api让 SDK 自己处理版本路径。如果你用的是 curl 直接请求那就要写全https://taotoken.net/api/v1/chat/completions。为了后面验证方便你可以先在宿主机上测一下 Key 是否可用不用等 Traefik 配好。命令如下curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的Key \ -H Content-Type: application/json \ -d { model: 你的ModelID, messages: [{role: user, content: ping}] }返回里有choices字段就说明通道正常。这一步过了再往容器里放环境变量就稳了。如果你更习惯用现成的编码工具TaoToken 也提供了 Coding Plan 入口 https://taotoken.net/coding-plan 适合长期写代码的场景不过本篇重点还是 Docker 里的接入。3. 可复制的 docker-compose 与 traefik.yml 配置这一节是核心我把 Traefik 和两个示例业务容器写进一个 docker-compose.yml你可以直接复制。先建网络再写配置。注意 Traefik v2 和 v3 的配置格式有差异下面用的是 v3 的静态配置加动态 label 方式兼容性更好。先创建目录和网络mkdir -p /opt/traefik cd /opt/traefik docker network create traefik-net然后写traefik.yml这是静态配置文件放在/opt/traefik/traefik.ymlentryPoints: web: address: :80 dashboard: address: :8080 api: dashboard: true insecure: true providers: docker: endpoint: unix:///var/run/docker.sock exposedByDefault: false network: traefik-net watch: true log: level: INFO这里几个参数解释一下。exposedByDefault: false很关键意思是容器默认不暴露必须显式打traefik.enabletrue标签才会被 Traefik 接管避免误暴露。network: traefik-net指定 Traefik 只关注这个网络里的容器。insecure: true是让 8080 面板可以直接访问生产环境建议换成 basicAuth 或只监听内网。接着写docker-compose.ymlservices: traefik: image: traefik:v3.0 container_name: traefik restart: unless-stopped ports: - 80:80 - 8080:8080 volumes: - /var/run/docker.sock:/var/run/docker.sock:ro - ./traefik.yml:/etc/traefik/traefik.yml:ro networks: - traefik-net web1: image: nginx:alpine container_name: web1 restart: unless-stopped environment: - TAOTOKEN_BASE_URLhttps://taotoken.net/api - TAOTOKEN_API_KEYsk-你的Key - TAOTOKEN_MODEL你的ModelID labels: - traefik.enabletrue - traefik.http.routers.web1.ruleHost(web1.abc.com) - traefik.http.routers.web1.entrypointsweb - traefik.http.services.web1.loadbalancer.server.port80 networks: - traefik-net web2: image: httpd:alpine container_name: web2 restart: unless-stopped labels: - traefik.enabletrue - traefik.http.routers.web2.ruleHost(web2.abc.com) - traefik.http.routers.web2.entrypointsweb - traefik.http.services.web2.loadbalancer.server.port80 networks: - traefik-net networks: traefik-net: external: true注意 label 里等号两边不能有空格这是 Traefik 解析 label 的硬性要求写成traefik.enable true会直接不生效。另外traefik.http.services.web1.loadbalancer.server.port80告诉 Traefik 容器内部监听的是 80 端口不是宿主机映射端口。如果你想让 web1 做负载均衡可以再起一个同镜像容器用同一个 service 名Traefik 会自动把请求轮询分发。比如再加一个web1blabel 里 service 名也写web1这样web1.abc.com就会在两个容器间轮询。这就是 Traefik 做负载均衡器最省事的地方不用额外配置 upstream。启动docker compose up -d docker compose ps看到 traefik、web1、web2 都是 Up 状态就对了。如果 traefik 起不来先看日志docker compose logs traefik多半是 traefik.yml 缩进或字段名写错。4. 验证路由与负载分发是否生效配置写完不算完得实际验证。分三步先验证 Traefik 面板能打开再验证域名路由最后验证负载均衡轮询。第一步浏览器或 curl 访问http://你的主机IP:8080能看到 Traefik Dashboard左侧 HTTP 里应该出现 web1 和 web2 两个 router。如果这里是空的说明 label 没被识别回去检查traefik.enabletrue和网络名。第二步配置 hosts。在客户端机器上编辑 hosts 文件Linux/macOS 是/etc/hostsWindows 是C:\Windows\System32\drivers\etc\hosts加两行192.168.3.168 web1.abc.com 192.168.3.168 web2.abc.com把 IP 换成你宿主机的实际地址。然后 curl 验证curl -s -H Host: web1.abc.com http://192.168.3.168 curl -s -H Host: web2.abc.com http://192.168.3.168第一个应该返回 nginx 欢迎页第二个返回 httpd 的 It works。用-H Host:的好处是不用改 hosts 也能测适合脚本里跑。第三步验证负载均衡。如果你按前面说的加了 web1b 容器连续请求多次观察返回内容或容器日志for i in $(seq 1 6); do curl -s -H Host: web1.abc.com http://192.168.3.168 | head -c 40 echo done如果两个容器返回内容不同你会看到交替出现。也可以看 Traefik 面板里 service 的 server 列表应该有两个地址。实测下来Traefik 默认用轮询策略容器健康检查通过才会进列表。第四步验证容器内调用 TaoToken 通道。进 web1 容器docker exec -it web1 sh curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d {\model\:\$TAOTOKEN_MODEL\,\messages\:[{\role\:\user\,\content\:\hello\}]}能返回choices就说明容器出网和 Key 都正常。这一步把反向代理和 API 通道串起来了外部请求走 Traefik 进容器容器内部再通过 TaoToken 统一通道调模型。5. 本篇常见错误排查这一节列几个我实际遇到过的报错对照着查能省不少时间。404 page not found访问域名返回 Traefik 的 404。原因通常是 router rule 没匹配上。检查 label 里 Host 的域名和你请求的 Host 是否完全一致大小写敏感。另外确认entrypointsweb和静态配置里的 entryPoints 名一致。502 Bad GatewayTraefik 找到了 router 但连不上后端。多半是 service port 写错或者容器不在 traefik-net 网络里。用docker inspect web1看 Networks 字段确认有 traefik-net。还要确认loadbalancer.server.port是容器内部端口不是宿主机映射端口。local proxy failed / dial tcp 超时容器内调 TaoToken 时报这个说明容器出网有问题。先docker exec web1 ping taotoken.net看 DNS再curl -v https://taotoken.net/api看 TLS。如果宿主机能通容器不通检查 Docker 的 DNS 配置或者容器是否被限制出网。401 Unauthorized调 TaoToken 返回 401说明 Key 不对或没带上。检查Authorization: Bearer sk-xxx格式Bearer 后面有空格Key 没有多余引号。如果你在 docker-compose 里写环境变量注意$符号在 YAML 里可能需要转义。reading choices 报错 / 返回结构不对一般是 Model ID 写错或者 base_url 多写了/v1。确认 base_url 是https://taotoken.net/apiModel ID 从模型列表页复制不要手打。OAuth 相关报错如果你用的是某些 CLI 工具它可能走 OAuth 流程而不是 API Key。这种情况改用 API Key 方式或者检查工具的配置文件。比如 Codex 的auth.json里要填对 base_url 和 keyClaude Code 类工具则需要在 settings 里指定 Anthropic 兼容地址。TaoToken 的接入文档 https://taotoken.net/doc 里有各工具的配置示例照着填 Base URL、Key、Model ID 三件套即可。Dashboard 打不开8080 端口没映射或者api.insecure没开。检查 docker-compose 的 ports 和 traefik.yml 的 api 段。label 不生效最常见就是等号两边有空格或者 label 写在 deploy 段里而不是 labels 段。Traefik 读的是容器 labels不是 compose 的 deploy 配置。排查顺序建议先看 Traefik 日志docker compose logs -f traefik再看 Dashboard 里 router 和 service 状态最后进容器测网络。大部分问题在 Dashboard 里能直接看出来。6. 把统一 Key 通道接进你的本地服务Traefik 把入口统一了TaoToken 把模型调用统一了两者结合就是一套很顺的本地服务暴露方案。你可以在任意业务容器里用同一套环境变量调模型不用为每个服务单独配 Key。如果你要长期跑编码类 Agent建议用 Coding Plan https://taotoken.net/coding-plan 它更适合高频调用场景。日常调试模型效果用模型对话页 https://taotoken.net/models 直接试就行。需要管理多个 Key 或看用量去控制台 https://taotoken.net/console 。最后给一个实用技巧把 TaoToken 的环境变量抽到.env文件里docker-compose 用env_file引入这样 Key 不会硬编码在 compose 里也方便换。另外 Traefik 的 label 可以抽成docker-compose.override.yml不同环境用不同域名主配置不动。整套跑下来你会发现单机 Docker 加 Traefik 并不复杂关键是网络要统一、label 要写对、端口要分清容器内外。把这三点记住后面加多少容器都是复制粘贴的事。
