使用Traefik为TeslaMate搭建安全Web访问环境

使用Traefik为TeslaMate搭建安全Web访问环境

teslamate 项目地址: https://gitcode.com/gh_mirrors/tes/teslamate

前言

TeslaMate是一款优秀的特斯拉车辆数据监控工具，当我们需要将其部署在公网环境时，安全性就显得尤为重要。本文将详细介绍如何利用Traefik反向代理、Let's Encrypt证书和HTTP基础认证，为TeslaMate构建一个安全的Web访问环境。

方案概述

本方案相比基础安装方案具有以下优势：

1. 通过Traefik反向代理管理所有入站HTTPS流量
2. 为TeslaMate服务启用HTTP基础认证保护
3. 使用Let's Encrypt自动获取和管理SSL证书
4. 强制要求Grafana登录认证
5. 所有敏感配置集中存储在.env文件中

准备工作

在开始前，您需要准备：

• 一个可公开访问的完整域名（FQDN），例如teslamate.example.com
• 服务器已安装Docker和Docker Compose
• 确保域名已正确解析到服务器IP

配置文件详解

docker-compose.yml

这个文件定义了完整的服务栈，包含以下核心组件：

1. TeslaMate服务：

   • 使用最新版TeslaMate镜像
   • 配置数据库连接和MQTT服务
   • 通过Traefik标签实现HTTPS重定向和基础认证
   • 特别处理WebSocket路径以保证实时数据正常传输

2. PostgreSQL数据库：

   • 使用PostgreSQL 16镜像
   • 数据持久化存储在teslamate-db卷中

3. Grafana仪表板：

   • 使用TeslaMate定制版Grafana镜像
   • 禁用匿名访问，强制登录
   • 配置为子路径(/grafana)访问

4. Mosquitto MQTT代理：

   • 使用无认证配置
   • 仅监听本地端口

5. Traefik反向代理：

   • 配置HTTP(80)和HTTPS(443)入口
   • 使用HTTP挑战方式获取Let's Encrypt证书
   • 自动发现Docker服务并应用路由规则

.env环境变量文件

此文件包含所有敏感配置，建议设置强密码：

# 数据库配置
TM_ENCRYPTION_KEY= # 用于加密API令牌的安全密钥
TM_DB_USER=teslamate
TM_DB_PASS= # 设置强密码
TM_DB_NAME=teslamate

# Grafana配置
GRAFANA_USER=admin
GRAFANA_PW=admin  # 建议修改为强密码

# 域名配置
FQDN_TM=teslamate.example.com

# 时区设置
TM_TZ=Asia/Shanghai  # 根据实际情况修改

# Let's Encrypt邮箱
LETSENCRYPT_EMAIL=your@email.com

.htpasswd认证文件

此文件存储TeslaMate的HTTP基础认证凭据，可使用以下方式生成：

1. 使用htpasswd工具（需安装Apache工具包）：

   htpasswd -B -c .htpasswd teslamate
   

2. 或使用在线生成工具（选择BCrypt加密方式）

文件内容示例：

teslamate:$2y$10$f7PB3UF3PNzqMIXZmf1dIefOkrv/15Xt6Xw3pzc6mkS/B5qoWBdAG

部署步骤

1. 创建项目目录并进入：

   mkdir teslamate && cd teslamate
   

2. 创建上述三个配置文件

3. 启动服务栈：

   docker compose up -d
   

4. 访问TeslaMate：

   • 打开 https://您的域名
   • 输入.htpasswd中设置的用户名密码
   • 登录您的Tesla账户

5. 重要配置更新：

   • 在TeslaMate设置页面中，更新URL配置：
     • Web应用URL: https://您的域名
     • 仪表板URL: https://您的域名/grafana

常见问题处理

1. Grafana登录问题：

   • 如果无法使用.env中设置的凭据登录，可重置密码：

     docker compose exec grafana grafana-cli admin reset-admin-password 新密码
     

2. 证书获取失败：

   • 确保80端口未被占用
   • 检查域名解析是否正确
   • 验证防火墙设置

3. 从基础安装迁移：

   • 保持原有PostgreSQL版本不变
   • 使用相同的数据库凭据
   • 如需升级PostgreSQL，请参考官方升级指南

安全建议

1. 定期备份以下目录：

   • acme/ - 包含SSL证书
   • 各Docker卷数据

2. 考虑添加以下增强措施：

   • 配置Traefik的访问日志和监控
   • 设置IP白名单限制
   • 启用Traefik的速率限制

3. 定期更新所有容器镜像：

   docker compose pull && docker compose up -d
   

通过以上配置，您的TeslaMate实例将获得企业级的安全防护，同时保持优秀的用户体验。

teslamate 项目地址: https://gitcode.com/gh_mirrors/tes/teslamate