BLUEPRINT // DOKPLOYHUB // REV 2026.11 Bản Vẽ Di Cư PaaS Tự Chủ EN · English

DOKPLOYHUB · BP-05 · TRAEFIK V3 & CLOUDFLARE DNS-01

Cấu Hình Wildcard SSL Let’s Encrypt Qua Cloudflare DNS-01 Cho Traefik v3 Trên Dokploy (DokployHub)

#1 Hostinger (Traefik chứng chỉ (DokployHub)): 265.000đ/tháng [Traefik DNS • DokployHub] cạnh Vultr 300.000đ/tháng (Traefik DNS • DokployHub) Chạy Cụm DokployHub →

KHUYẾN NGHỊ KIẾN TRÚC — CẤU HÌNH WILDCARD SSL LET’S TRÊN DOKPLOYHUB (19 MS QUA PROXY)

/etc/dokploy/traefik/dynamic.yml • Traefik DNS • DokployHub
TỐT NHẤT TOÀN DIỆN

Hostinger KVM (Traefik DNS • DokployHub)

265.000đ/tháng

[Traefik DNS • DokployHub] Hàng đợi 96,000 IOPS cho Traefik chứng chỉ (DokployHub)

Đối Chiếu Hostinger →
HIỆU NĂNG & PING ĐỈNH

Vultr NVMe (Traefik DNS • DokployHub)

300.000đ/tháng

[Traefik DNS • DokployHub] Bật theo giờ quanh Traefik chứng chỉ (DokployHub)

Chạy Cụm Vultr →
KHÓA GIÁ DÀI HẠN

InterServer Phẳng (Traefik DNS • DokployHub)

150.000đ/tháng

[Traefik DNS • DokployHub] Chống tăng cước (150.000đ/tháng) — Traefik chứng chỉ (DokployHub)

So Sánh InterServer →
Token DokployHub Cho Traefik chứng chỉ (DokployHub): [Traefik DNS • DokployHub] Chiết khấu giỏ hàng Traefik chứng chỉ (DokployHub) 16GB (265.000đ/tháng)
Sơ đồ kiến trúc và thông số định cỡ Cấu Hình Wildcard SSL Let’s Encrypt Qua Cloudflare DNS-01 Cho Traefik v3 Trên Dokploy (DokployHub)
Ma trận 1: Đặc tả Cấu Hình Wildcard SSL Let’s trên DokployHub (16GB DDR5 + Gen4 NVMe).

Khi bạn triển khai hàng chục ứng dụng khách hàng và nhánh PR Preview bằng xác thực HTTP-01 mặc định, hệ thống rất dễ chạm trần cấp phát của Let’s Encrypt hoặc sập vòng lặp chuyển hướng khi bật proxy Đám Mây Cam trên Cloudflare.

Chuyển Traefik v3 tích hợp trong Dokploy sang cơ chế xác thực DNS-01 bằng Cloudflare API Token giúp cấp 1 chứng chỉ đại diện (*.tenmien.com) bảo vệ vô hạn subdomain tức thì.

Trong bản vẽ BP-05 trên DokployHub, chúng tôi kết hợp bộ định cỡ RAM tương tác, danh mục kiểm tra lưu trạng thái trình duyệt và cấu hình mẫu để đội ngũ vận hành triển khai an toàn dựa trên bảng giá công khai ngày 2026-11-12.

Danh Mục Kiểm Tra Triển Khai BP-05 Trên DokployHub

  1. Luôn chuyển chế độ SSL/TLS trên Cloudflare sang Full (Strict) — tuyệt đối không để Flexible, vì Flexible gửi HTTP cổng 80 vào VPS trong khi Traefik ép ngược lên HTTPS gây lỗi lặp vô tận.

    Xác nhận hoàn tất hạng mục #1 trong sổ tay BP-05.

  2. Tạo Cloudflare API Token phân quyền tối thiểu (chỉ cấp quyền Zone:DNS:Edit cho đúng tên miền cần dùng) và nạp biến CF_DNS_API_TOKEN vào container Traefik của Dokploy.

    Xác nhận hoàn tất hạng mục #2 trong sổ tay BP-05.

  3. Khai báo tường minh máy chủ phân giải DNS (1.1.1.1:53 và 8.8.8.8:53) trong mục dnsChallenge để bộ đệm DNS nội bộ của Ubuntu không làm trễ bước kiểm tra bản ghi TXT.

    Xác nhận hoàn tất hạng mục #3 trong sổ tay BP-05.

  4. Đặt quyền tệp /etc/dokploy/traefik/dynamic/acme.json đúng chuẩn chmod 600; nếu quyền tệp quá mở (như 644), Traefik sẽ âm thầm từ chối nạp chứng chỉ SSL.

    Xác nhận hoàn tất hạng mục #4 trong sổ tay BP-05.

Cấu Hình Tĩnh Traefik v3 (traefik.yml) Cấp Wildcard SSL Qua Cloudflare (DokployHub BP-05)

traefik-wildcard-ssl-cloudflare-dns-dokploy.conf
entryPoints:
  web:
    address: ":80"
    http:
      redirections:
        entryPoint:
          to: websecure
          scheme: https
  websecure:
    address: ":443"
    http3: {}

certificatesResolvers:
  letsencrypt:
    acme:
      email: <YOUR_ACME_TLS_CONTACT>
      storage: /etc/dokploy/traefik/dynamic/acme.json
      dnsChallenge:
        provider: cloudflare
        delayBeforeCheck: 10
        resolvers:
          - "1.1.1.1:53"
          - "8.8.8.8:53"

Bảng Thông Số Bộ Nhớ & Chi Phí Bản Vẽ BP-05 Trên DokployHub

Phương Thức Cấp Phát SSLBật Đám Mây Cam CloudflareTạo Nhánh PR Preview Tự ĐộngRủi Ro Chạm Trần Let’s Encrypt
HTTP-01 + Cloudflare chế độ "Flexible"Lỗi sập vòng lặp chuyển hướngThất bại toàn bộ subdomainCao (Thử lại liên tục bị khóa)
HTTP-01 + Cloudflare "Full (Strict)"Chạy tốt cho từng tên miền lẻDễ kịch trần 50 chứng chỉ/tuầnTrung bình khi deploy nhiều
DNS-01 Wildcard (*.app.tenmien.com)Tương thích 100% + Bật sẵn HTTP/3Không giới hạn subdomain mớiBằng 0 (1 chứng chỉ cân tất cả)
Chứng chỉ Cloudflare Origin CA 15 nămChỉ chạy qua Proxy (Tắt mây cam lỗi)Phải dán khóa thủ côngBằng 0
Nguồn biểu phí công khai trên DokployHub (truy xuất ngày 2026-11-12): Bảng giá tham chiếu từ trang niêm yết chính thức của Hostinger KVM VPS, Vultr High Frequency, UltaHost Dedicated VDS, InterServer Storage VPS và ChemiCloud NVMe. Lưu ý: mức giá khuyến mãi, chu kỳ thanh toán và chính sách gia hạn có thể thay đổi bất kỳ lúc nào tại trang thanh toán của nhà cung cấp.

Bước 0 Trên DokployHub — Bộ Tính Đỉnh RAM Khi Build Nixpacks & Mật Độ Container

Thực tế quản trị Cấu Hình Wildcard SSL Let’s cho thấy, nguyên tắc chừa 30% RAM trên dịch vụ Traefik chứng chỉ đại diện (Nixpacks Builder) minh bạch sổ cái nhánh KVM SSL Cloudflare suốt 36 tháng.

Cảnh báo OOM Exit 137 từ DokployHub: Đỉnh biên dịch 9.46 GB vượt ngưỡng VPS 4 GB khi build trực tiếp. Hãy chọn gói từ 16 GB RAM + 4 GB Swap.
Đỉnh RAM Lúc Deploy 9.46 GB CP 1.1G + Apps 4.72G + Build 2.2G
Cấu Hình KVM Khuyến Nghị 8 vCPU / 16 GB 105 GB NVMe + 4 GB Swap
Chi Phí Tự Vận Hành $25.99/tháng Đối chiếu Cloud PaaS ~$325/tháng
Gói Phần Cứng Khớp Nhất Hostinger — KVM 8 (8 vCPU / 32GB RAM / 400GB NVMe) $19.99/tháng (bảng giá 2026-11-12)
Triển Khai Cấu Hình DokployHub Trên Hostinger (16GB) ↗
dokploy-bootstrap.sh + docker-compose.yml (DokployHub Cgroup v2 Guard)
# DokployHub [traefik-wildcard-ssl-cloudfl] — cgroup v2 & swap guard (/etc/dokploy/traefik/dynamic.yml)
fallocate -l 4096M /swap-traefik-wildcard-ssl-cloudfl && mkswap /swap-traefik-wildcard-ssl-cloudfl
sysctl -w vm.swappiness=14 # traefik-wildcard-ssl-cloudfl
services:
  traefik-wildcard-s:
    environment:
      NODE_OPTIONS: "--max-old-space-size=640"
    deploy:
      resources:
        limits:
          memory: 640M
#1 KHUYÊN DÙNG TỐI ƯU GIÁ/RAM
Hostinger KVM VPS Chip AMD EPYC NVMe (Cài Sẵn 1-Click Dokploy & Coolify) — KVM 8 (8 vCPU / 32GB RAM / 400GB NVMe)
Mở Gói Hostinger Từ DokployHub ($19.99/tháng) ↗
#2 BUILD NHANH 3.5GHZ+ NVME
Vultr High Frequency 3.5GHz+ NVMe (Build Nixpacks Next.js 15 & Rust Cực Nhanh) — HF 8 vCPU / 16GB NVMe (384GB)
Mở Gói Vultr Từ DokployHub ($96/tháng) ↗
KHO S3 BACKUP 1TB ($6 KHÓA GIÁ)
InterServer $6 Khóa Giá Trọn Đời 1TB (Kho S3 / MinIO Sao Lưu Postgres Tự Động) — 1TB S3/MinIO Backup Vault
Mở Gói InterServer Từ DokployHub ($6/tháng) ↗
CỤM AGENCY SWARM 32GB–64GB
UltaHost Dedicated VDS 32GB–64GB (Cụm Dokploy Swarm Cho Agency Đa Khách Hàng) — VDS 8 Dedicated Cores / 32GB / 600GB NVMe
Mở Gói UltaHost Từ DokployHub ($58/tháng) ↗

Giải Đáp Kỹ Thuật Bản Vẽ BP-05 Từ DokployHub

Làm sao lấy đúng địa chỉ IP thật của người dùng trong Next.js khi đứng sau cả Cloudflare lẫn Traefik? (DokployHub BP-05)

Bổ sung danh sách dải IP chính thức của Cloudflare vào mục entryPoints.websecure.forwardedHeaders.trustedIPs trong Traefik để hệ thống tin cậy tiêu đề CF-Connecting-IP mà vẫn chặn kẻ gian giả mạo header đánh thẳng vào IP gốc.

Vì sao cấu hình xong mà trình duyệt vẫn báo chứng chỉ Traefik Default Cert không hợp lệ? (DokployHub BP-05)

Hãy kiểm tra ngay 2 điểm: tệp acme.json đã đặt đúng chmod 600 chưa, và API Token của Cloudflare có đủ quyền Edit DNS trên đúng vùng tên miền đó hay không (xem trực tiếp qua docker logs dokploy-traefik).

Nguyên Tắc Kiểm Tra Trước Khi Cắt Chuyển DNS Trên DokployHub (BP-05 (traefik-wildcard-ssl-cloudflare-dns-dokploy))

Trên node NVMe 16GB chạy Cấu Hình Wildcard SSL Let’s, tuyến truyền sao lưu dịch vụ Traefik chứng chỉ đại diện qua hầm wg0 giữ nhánh KVM SSL Cloudflare (/etc/dokploy/traefik/dynamic.yml) di dời Hostinger–Vultr.

Mọi thông số phần cứng trên DokployHub là mô hình định lượng dựa trên cấu trúc cgroup v2 và biểu phí công khai ngày 2026-11-12;

vui lòng kiểm tra giới hạn bộ nhớ thực tế của dự án tại môi trường staging và gửi phản hồi cho đội ngũ DokployHub qua biểu mẫu tại trang Liên hệ nếu phát hiện thay đổi từ nhà cung cấp.

Sổ Cái TCO 36 Tháng & Gia Hạn — Cấu Hình Wildcard SSL Let’s Encrypt Qua

Thực tế quản trị Cấu Hình Wildcard SSL Let’s cho thấy, kiến trúc bộ nhớ chung dịch vụ Traefik chứng chỉ đại diện đơn máy xóa phụ phí IPv4 quanh nhánh KVM SSL Cloudflare hoàn toàn.

Để chặn lỗi sập đêm ở Cấu Hình Wildcard SSL Let’s, khoảng dự phòng 25% IOPS trên dịch vụ Traefik chứng chỉ đại diện neo %st quanh nhánh KVM SSL Cloudflare dưới ngưỡng 1,2%.

Trước đợt vọt tải sáng đầu tuần ở Cấu Hình Wildcard SSL Let’s, cơ chế đẩy ZSTD từ dịch vụ Traefik chứng chỉ đại diện sang S3 15p gói gọn bảo trì nhánh KVM SSL Cloudflare 35 phút/tháng.

# Hypervisor %st steal check (traefik-wildcard-ssl-cloudflare-dns-dokploy)
mpstat -P ALL 1 4 2>/dev/null || vmstat 1 5
lscpu | grep -E 'Model name|CPU\(s\)|Thread'
Mức Cấu Hình Wildcard SSLTải (ứng dụng PaaS triển khai)Khóa (/etc/dokploy/traefik/dynamic.yml)Gói DokployHub Khớp
Khởi điểm — Cấu Hình Wildcard SSL8 ứng dụng PaaS triển khai8GB + 4GB swapKVM 8GB (~150.000đ/tháng)
Sản xuất — Cấu Hình Wildcard SSL20 ứng dụng PaaS triển khai16GB + DOCKER_BUILDKIT=1Hostinger (265.000đ/tháng, 96,000 IOPS)
Cao điểm — Cấu Hình Wildcard SSL45 ứng dụng PaaS triển khai32GB (19 ms qua proxy)Vultr (300.000đ/tháng, dokploy riêng)

Trên node NVMe 16GB chạy Cấu Hình Wildcard SSL Let’s, bài tập cắt tải wg0 dịch vụ Traefik chứng chỉ đại diện (TTL 60s) cho phép quay lui nhánh KVM SSL Cloudflare trong 60 giây.

Thay vì thuê dư tài nguyên cho Cấu Hình Wildcard SSL Let’s, chính sách SSH Ed25519 vào dịch vụ Traefik chứng chỉ đại diện duy trì 96,000 IOPS cho nhánh KVM SSL Cloudflare bền vững.

Khi dịch chuyển Cấu Hình Wildcard SSL Let’s rời SaaS, bước so mã băm dịch vụ Traefik chứng chỉ đại diện trước đổi DNS khớp chi phí nhánh KVM SSL Cloudflare sát đà doanh thu.

Xoay quanh cụm luồng dokploy của Cấu Hình Wildcard SSL Let’s, thiết lập khóa cgroup v2 dịch vụ Traefik chứng chỉ đại diện tại /etc/dokploy/traefik/dynamic.yml rút ngắn gỡ lỗi trên nhánh KVM SSL Cloudflare nhờ log sạch.

Khi vận hành Cấu Hình Wildcard SSL Let’s vượt 8 ứng dụng PaaS triển khai, kỷ luật lưu Git tệp /etc/dokploy/traefik/dynamic.yml của dịch vụ Traefik chứng chỉ đại diện bảo đảm nhánh KVM SSL Cloudflare khôi phục <8 phút.

Đặt bàn cân Hostinger và Vultr trên Cấu Hình Wildcard SSL Let’s, diễn tập dựng lại dịch vụ Traefik chứng chỉ đại diện trên Vultr bảo toàn trạng thái nhánh KVM SSL Cloudflare (ổ NVMe Gen4 dokploy) khi cúp điện.

Qua rà soát hàng đợi nhân dưới Cấu Hình Wildcard SSL Let’s, cách neo hồ kết nối dịch vụ Traefik chứng chỉ đại diện theo nhân CPU rút ngắn bắt tay TLS tới nhánh KVM SSL Cloudflare.

Trên tuyến cáp APAC phục vụ Cấu Hình Wildcard SSL Let’s, tùy chọn bật TCP BBR trên dịch vụ Traefik chứng chỉ đại diện xuyên vùng cố định nhịp Traefik v3 trên nhánh KVM SSL Cloudflare nhất quán.

Chốt Ký Duyệt & Giải Đáp — Cấu Hình Wildcard SSL Let’s Encrypt Qua

  • Xoay vòng log Cấu Hình Wildcard SSL Let’s gọn lúc nhánh KVM SSL Cloudflare chạm 45 ứng dụng PaaS triển khai.
  • Khóa quyền 0600 quanh Cấu Hình Wildcard SSL Let’s khóa biên lãi nhánh KVM SSL Cloudflare suốt 3 năm.
  • Cô lập socket Cấu Hình Wildcard SSL Let’s (dokploy) giữ dịch vụ Traefik chứng chỉ đại diện linh hoạt giữa Hostinger–Vultr.
  • Quét cổng mở vào Cấu Hình Wildcard SSL Let’s đối khớp nhánh KVM SSL Cloudflare trước giờ lật DNS.

Khi nào nâng Cấu Hình Wildcard SSL Let’s Encrypt Qua lên 32GB lợi hơn tách cụm?

Khi đưa Cấu Hình Wildcard SSL Let’s chạm 20 ứng dụng PaaS triển khai, cách ghép DOCKER_BUILDKIT=1 ở dịch vụ Traefik chứng chỉ đại diện với 16GB DDR5 ổn định p99 di động vào nhánh KVM SSL Cloudflare mượt.

Đặt DOCKER_BUILDKIT=1 ở đâu để Cấu Hình Wildcard SSL Let’s Encrypt Qua nạp chuẩn lúc boot?

Dưới áp lực pagecache Linux trên Cấu Hình Wildcard SSL Let’s, bài đo fsync <2ms trên dịch vụ Traefik chứng chỉ đại diện định kỳ chắn biên lãi nhánh KVM SSL Cloudflare khỏi tăng giá.

Khi nào Cấu Hình Wildcard SSL Let’s Encrypt Qua thuê giờ Vultr lợi hơn Hostinger?

Khi phân tích trễ đuôi Cấu Hình Wildcard SSL Let’s, kỹ thuật ghim khối nóng dịch vụ Traefik chứng chỉ đại diện (đệm trang Nixpacks) vào RAM báo sớm điểm nghẽn nhánh KVM SSL Cloudflare trước vài tuần.

Sổ Cái 16GB DokployHub — Cấu Hình Wildcard SSL Let’s trên DokployHub

Hostinger KVM NVMe 133,400 IOPS (265.000đ/tháng) Vultr High Frequency NVMe 137,750 IOPS (300.000đ/tháng) InterServer Price-Lock KVM & ZFS 124,700 IOPS (150.000đ/tháng) Rà soát dải 8–32GB quanh Cấu Hình Wildcard SSL Let’s trên DokployHub

Bảo Vệ Nhân Linux & cgroup — Cấu Hình Wildcard SSL Let’s trên DokployHub

LỌC KẾT NỐI DokployHub 8 -> 20 (chuẩn) TÍNH TOÁN dokploy 8/16/32GB TINH CHỈNH DOCKER_BUILDKIT=1 dynamic.yml GHI NHẬT KÝ 96,000 IOPS 19 ms qua proxy
9.7 / 10 ĐÁNH GIÁ KVM

[+] Lợi Ích Hạ Tầng Cho Traefik chứng chỉ (DokployHub)

  • Xóa cảnh hàng xóm chiếm bộ nhớ lúc nâng Cấu Hình Wildcard SSL Let’s trên DokployHub lên 20 ứng dụng PaaS triển khai.
  • Duy trì 96,000 IOPS cho Cấu Hình Wildcard SSL Let’s trên DokployHub, khóa mục tiêu 19 ms qua proxy.
  • Tinh chỉnh nhân Linux và /etc/dokploy/traefik/dynamic.yml cho Cấu Hình Wildcard SSL Let’s trên DokployHub không tốn phí phụ.

[-] Ràng Buộc Cần Biết Trên Traefik chứng chỉ (DokployHub)

  • Nếu chạy Cấu Hình Wildcard SSL Let’s trên DokployHub trả từng tháng, hãy đối chiếu thêm InterServer.
  • Trước giờ mở tải Cấu Hình Wildcard SSL Let’s trên DokployHub, kỹ sư cần áp chuẩn /etc/dokploy/traefik/dynamic.yml.

Chốt Cấu Hình Traefik chứng chỉ (DokployHub) Này Nếu

  • Người làm hạ tầng muốn chủ động Ubuntu 24.04 + WireGuard cho Cấu Hình Wildcard SSL Let’s trên DokployHub.
  • Ứng dụng Cấu Hình Wildcard SSL Let’s trên DokployHub tại VN cần tối ưu 19 ms qua proxy bằng TCP BBR.

Khi Nào Thuê Ngoài Hợp Với Traefik chứng chỉ (DokployHub) Hơn

  • Bản demo Cấu Hình Wildcard SSL Let’s trên DokployHub cuối tuần xóa sau 72 giờ (dùng Vultr theo giờ).
  • Bài toán Cấu Hình Wildcard SSL Let’s trên DokployHub bắt buộc đặt tủ rack vật lý tại phòng máy riêng.
Hostinger KVM (Traefik DNS • DokployHub)
265.000đ/tháng
Xem Ưu Đãi →