1. 多网络容器接 Traefik 后 404问题到底出在哪Traefik 接入 Docker 容器后服务无法访问是自建反向代理里出现频率很高的一类故障。典型表现是容器本身docker ps状态正常docker exec进去curl localhost:3000也能返回页面但通过 Traefik 暴露的域名或端口访问就是 404、502或者干脆连不上。很多人第一反应是标签写错了反复检查traefik.enabletrue和Host()规则结果发现标签完全正确问题依旧。这类场景的核心矛盾往往不在标签而在容器网络归属。当你的应用容器同时挂在default和traefik-public两个网络上而 Traefik 只监听其中一个网络时它就无法正确发现这个容器的路由规则。Traefik 的 Docker Provider 默认只监听与自身处于同一网络的容器多网络会让它「看得到容器、读不到标签」路由自然注册不上。这篇文章面向正在用 Traefik 做容器编排、遇到多网络访问异常的开发者。我会从网络声明和路由规则两个角度拆开讲给出可直接复制的docker-compose网络配置片段、Traefik 动态配置骨架以及用 TaoToken 统一 Key 调用 API 验证路由可达性的具体命令。适合已经跑通单网络 Traefik、正在往多网络架构迁移的人跟做。2. 前置准备TaoToken 统一 Key 与网络环境排查路由问题需要一个稳定的验证入口。我习惯用 TaoToken 做统一 Key 管理把模型对话、编码 Agent 等调用收敛到一套凭证上验证阶段直接调 API 确认链路是否通比反复刷新浏览器高效得多。TaoToken 是一个统一的大模型 API 接入平台核心作用是用一个 Key 访问多种模型能力适合需要长期做编码、Agent 编排和接口验证的开发者。官网地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 这个不加 UTM。开始之前你需要准备三样东西第一一个可用的 TaoToken API Key。到控制台创建即可地址是 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 创建 Key 的页面在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 。Key 只在创建时完整显示一次记得先存到环境变量里。第二Docker 与 Docker Compose 环境。确认docker network ls能正常输出docker-compose version可用。第三提前创建traefik-public网络。这一步很多人会漏导致external: true引用失败docker network create traefik-public创建完用docker network inspect traefik-public确认存在。如果之前已经建过这条命令会报 already exists忽略即可。注意traefik-public建议作为 external 网络统一管理不要在每个 compose 文件里重复声明为普通网络否则不同项目会各自创建同名但隔离的网络Traefik 依然发现不了容器。3. 可复制配置docker-compose 网络声明与 Traefik 动态配置先看问题配置。下面这段是典型的「多网络踩坑」写法应用容器同时挂了default和traefik-publicservices: app: image: your-app-image:latest networks: - default - traefik-public labels: - traefik.enabletrue - traefik.http.routers.app.ruleHost(app.localhost) - traefik.http.routers.app.entrypointsweb - traefik.http.services.app.loadbalancer.server.port3000 networks: traefik-public: external: trueTraefik 容器只连了traefik-public而 app 容器有两个网络接口。Traefik 通过 Docker socket 读取容器信息时会拿到多个网络 IP默认情况下它只认自己所在网络的那个。当容器网络声明顺序或默认网络干扰时路由规则就可能注册失败。方法一应用容器只连 traefik-public。这是最省事的做法把default去掉services: app: image: your-app-image:latest networks: - traefik-public labels: - traefik.enabletrue - traefik.http.routers.app.ruleHost(app.localhost) - traefik.http.routers.app.entrypointsweb - traefik.http.services.app.loadbalancer.server.port3000 networks: traefik-public: external: true方法二显式指定 Traefik 监听的网络。如果你确实需要 app 同时连多个网络比如还要访问数据库网络就在 Traefik 启动参数里强制指定services: traefik: image: traefik:v2.5 command: - --api.insecuretrue - --providers.docker - --providers.docker.networktraefik-public - --entrypoints.web.address:80 ports: - 80:80 - 8080:8080 volumes: - /var/run/docker.sock:/var/run/docker.sock:ro networks: - traefik-public app: image: your-app-image:latest networks: - default - traefik-public labels: - traefik.enabletrue - traefik.http.routers.app.ruleHost(app.localhost) - traefik.http.routers.app.entrypointsweb - traefik.http.services.app.loadbalancer.server.port3000 networks: traefik-public: external: true关键参数就是--providers.docker.networktraefik-public它告诉 Traefik 只在这个网络里发现容器。两种方法选一种即可方法二更适合多网络并存的复杂架构。如果你用动态配置文件file provider而不是纯标签骨架大致如下http: routers: app: rule: Host(app.localhost) entryPoints: - web service: app services: app: loadBalancer: servers: - url: http://app:3000这里http://app:3000里的app是容器名前提是 Traefik 和 app 在同一网络内能通过容器名解析。多网络场景下容器名解析依赖网络别名建议在 compose 里显式加aliases。4. 验证请求用 TaoToken 统一 Key 确认路由可达配置改完先重启服务docker-compose down docker-compose up -d然后确认 Traefik 是否加载了路由。看日志docker-compose logs traefik | grep app正常应该能看到类似Adding route for app.localhost的输出。如果没有任何 app 相关日志说明路由没被发现回到网络声明检查。接着验证容器间连通性。进入 app 容器测试能否访问 Traefikdocker exec -it your_app_container curl -I http://traefik:80返回 HTTP 状态码哪怕是 404就说明网络层通了剩下的是路由规则问题。最后用 TaoToken 统一 Key 调 API 做端到端验证。把 Key 存进环境变量export TAOTOKEN_API_KEY你的Key然后发一个请求确认链路curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: claude-3-5-sonnet, messages: [{role: user, content: ping}] }返回正常 JSON 就说明你的 Key 和网络出口都没问题。这一步的意义在于把「路由是否可达」和「应用本身是否正常」两个变量分开。如果 TaoToken API 通、但 Traefik 域名不通问题就锁定在 Traefik 网络配置上排查范围立刻缩小。想直接在网页里验证模型对话是否正常可以打开 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentchatutm_campaignrewrite 用同一个 Key 试一次对话确认凭证有效。如果你在做长期编码或 Agent 编排需要更稳定的调用配额可以看 Coding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 里面有完整的参数说明。5. 本篇常见错排查报错一network traefik-public declared as external, but could not be found。说明网络没提前创建。执行docker network create traefik-public后重试。注意不同 compose 项目如果各自声明普通网络会创建隔离的同名网络务必统一用 external。报错二Traefik 日志里完全没有 app 的路由记录。九成是网络归属问题。检查 app 容器的网络列表docker inspect your_app_container | grep -A 20 Networks。如果看到多个网络而 Traefik 没配--providers.docker.network就按方法一或方法二改。报错三404 但日志显示路由已加载。检查Host()规则里的域名是否和你访问的一致以及entrypoints名称是否和 Traefik 启动参数里的--entrypoints.web.address对应。entrypoint 名字写错是高频错误。报错四502 Bad Gateway。网络通了、路由也注册了但 Traefik 连不上后端。检查loadbalancer.server.port是否等于容器内应用真实监听端口不是映射到宿主机的端口。容器间通信走的是容器内端口。报错五容器名解析失败。多网络下http://app:3000可能解析不到。在 compose 网络配置里加别名networks: traefik-public: external: true aliases: - app报错六改了配置但没生效。Traefik 的 Docker Provider 是动态的但 compose 网络变更需要重建容器。docker-compose down docker-compose up -d比restart更彻底因为网络归属在容器创建时确定restart 不会重新挂网络。6. 把验证入口固定下来排查这类问题的效率很大程度取决于你有没有一个稳定的验证入口。我现在的做法是所有需要调 API 验证的环节统一走 TaoToken 的 Key模型对话、编码 Agent、接口连通性测试都用同一套凭证。这样当 Traefik 出问题时我能立刻用一条 curl 命令区分「是网络路由挂了」还是「是应用本身挂了」不用在两个系统之间来回猜。具体操作上把 Key 写进 shell 的 profile 文件避免每次重新 exportecho export TAOTOKEN_API_KEY你的Key ~/.bashrc source ~/.bashrc之后任何验证脚本都能直接读这个变量。需要新建或轮换 Key 时到 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 操作。接入细节和参数对照看文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 遇到路由和网络问题先用 API 验证链路再回头查 Traefik 配置顺序别反。