OllamaをTraefikリバースプロキシで保護する方法｜自動HTTPS・BasicAuth・レート制限をYAML設定で一括管理する手順

この記事のポイント

・Traefikはtraefik.yml＋dynamic.ymlの2ファイルでBasicAuth・HTTPS・レート制限を一括管理できる
・dynamic.ymlはwatch:trueで変更を自動反映するためTraefik再起動なしで設定変更が効く
・docker-compose.ymlにextra_hostsを設定することでコンテナ内からホストのOllama(11434番)へ接続できる
・Let's Encrypt証明書はTraefik内蔵のACMEクライアントが自動取得・自動更新するためcertbotは不要

$ sudo systemctl show ollama --property=Environment
# Environment=OLLAMA_HOST=127.0.0.1

$ curl -s http://127.0.0.1:11434/api/tags
# {"models":[{"name":"llama3.3:70b-instruct-q4_0","modified_at":"...","size":...}]}

$ docker --version
# Docker version 27.3.1, build ce12230

$ docker compose version
# Docker Compose version v2.29.7

$ mkdir -p ~/traefik
$ cd ~/traefik

$ cat > ~/traefik/traefik.yml << 'EOF'
api:
  dashboard: false

log:
  level: INFO

entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
          permanent: true
  websecure:
    address: ":443"

certificatesResolvers:
  letsencrypt:
    acme:
      email: admin@example.com
      storage: /letsencrypt/acme.json
      httpChallenge:
        entryPoint: web

providers:
  file:
    filename: /etc/traefik/dynamic.yml
    watch: true
EOF

$ cat > ~/traefik/dynamic.yml << 'EOF'
http: {}
EOF

$ mkdir -p ~/traefik/letsencrypt
$ touch ~/traefik/letsencrypt/acme.json
$ chmod 600 ~/traefik/letsencrypt/acme.json

$ touch ~/traefik/.htpasswd

$ cat > ~/traefik/docker-compose.yml << 'EOF'
services:
  traefik:
    image: traefik:v3.3
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - ./traefik.yml:/etc/traefik/traefik.yml:ro
      - ./dynamic.yml:/etc/traefik/dynamic.yml:ro
      - ./letsencrypt:/letsencrypt
      - ./.htpasswd:/etc/traefik/.htpasswd:ro
    extra_hosts:
      - "host.docker.internal:host-gateway"
EOF

$ cd ~/traefik
$ docker compose up -d
$ docker compose logs traefik
# traefik  | time="..." level=info msg="Configuration loaded from file: /etc/traefik/dynamic.yml"
# traefik  | time="..." level=info msg="Starting provider file"

$ cat > ~/traefik/dynamic.yml << 'EOF'
http:
  routers:
    ollama:
      rule: "Host(`ollama.example.com`)"
      entryPoints:
        - websecure
      service: ollama
      tls:
        certResolver: letsencrypt

  services:
    ollama:
      loadBalancer:
        servers:
          - url: "http://host.docker.internal:11434"
EOF

$ curl -s -o /dev/null -w "%{http_code}" https://ollama.example.com/api/tags
# 200

$ curl -sI http://ollama.example.com/api/tags | head -1
# HTTP/1.1 301 Moved Permanently

$ sudo apt install -y apache2-utils

# 最初のユーザー（-c でファイル新規作成）
$ htpasswd -c ~/traefik/.htpasswd alice
# New password:
# Re-type new password:
# Adding password for user alice

# 2人目以降は -c なし
$ htpasswd ~/traefik/.htpasswd bob
# Adding password for user bob

$ cat > ~/traefik/dynamic.yml << 'EOF'
http:
  routers:
    ollama:
      rule: "Host(`ollama.example.com`)"
      entryPoints:
        - websecure
      middlewares:
        - ollama-auth
      service: ollama
      tls:
        certResolver: letsencrypt

  services:
    ollama:
      loadBalancer:
        servers:
          - url: "http://host.docker.internal:11434"

  middlewares:
    ollama-auth:
      basicAuth:
        usersFile: "/etc/traefik/.htpasswd"
EOF

$ docker compose restart traefik

# 認証なし → 401
$ curl -s -o /dev/null -w "%{http_code}" https://ollama.example.com/api/tags
# 401

# 認証あり → 200
$ curl -u alice:mypassword https://ollama.example.com/api/tags
# {"models":[{"name":"llama3.3:70b-instruct-q4_0",...}]}

  routers:
    ollama:
      # ...
      middlewares:
        - ollama-auth
        - ollama-ratelimit

  middlewares:
    ollama-auth:
      basicAuth:
        usersFile: "/etc/traefik/.htpasswd"
    ollama-ratelimit:
      rateLimit:
        average: 10
        period: "1m"
        burst: 3

  middlewares:
    ollama-ipallow:
      ipAllowList:
        sourceRange:
          - "192.168.1.0/24"
          - "10.0.0.0/8"

$ docker compose exec traefik wget -q -O - http://host.docker.internal:11434/api/tags
# {"models":[...]}

ローカルLLMのセキュア公開を2日間のハンズオンで体験する

Traefikの設定ファイルやLet's EncryptのACMEチャレンジは、手を動かさないと挙動が掴みにくい。YAMLの書き方・自動証明書取得の仕組み・BasicAuthの動作を実機で確かめたい方向けに、「ローカルAIマスターセミナー」を開催しています。
少人数（最大8名）ZOOMハンズオン形式で実施しています。